Методичні вказівки з оцінювання рівня гарантій коректності реалізації функціональних послуг безпеки в засобах захисту інформації від несанкціонованого доступу

Чинний від 2009-_____

1 Галузь застосування

Цей нормативний документ (НД) містить методичні вказівки та рекомендації щодо здійснення експертного оцінювання відповідності засобів захисту інформації в комп'ютерних системах від несанкціонованого доступу (НСД) та комплексів засобів захисту (КЗЗ) комплексних систем захисту інформації (КСЗІ) в інформаційно-телекомунікаційних системах (ІТС) вимогам до технічного захисту інформації (ТЗІ) у частині оцінювання рівня гарантій коректності реалізації функціональних послуг безпеки (ФПБ).

НД призначений для державних органів, органів місцевого самоврядування, органів управління Збройних Сил України, інших військових формувань, а також підприємств, установ і організацій всіх форм власності, які виконують роботи зі створення та проведення експертизи засобів захисту інформації в комп'ютерних системах від НСД на відповідність вимогам НД системи ТЗІ в Україні.

2 Нормативні посилання

У цьому НД ТЗІ наведено посилання на такі нормативні документи:

ГОСТ 19.201-78 Единая система программной документации. Техническое задание. Требования к содержанию и оформлению.

ГОСТ 19.301-79 Единая система программной документации. Программа и методика испытаний. Требования к содержанию и оформлению.

ГОСТ 19.404-79 Единая система программной документации. Пояснительная записка. Требования к содержанию и оформлению.

ГОСТ 34.602-89 Информационная технология. Комплекс стандартов на автоматизированные системы. Техническое задание на создание автоматизированной системы.

ДСТУ 2851-94 Програмні засоби ЕОМ. Документування результатів випробувань.

ДСТУ 2853-94 Програмні засоби ЕОМ. Підготовлення і проведення випробувань.

ДСТУ 3396.2-97 Захист інформації. Технічний захист інформації. Терміни і визначення.

Положення про державну експертизу в сфері технічного захисту інформації. Затверджено наказом Адміністрації Державної служби спеціального зв'язку та захисту інформації України від 16.05.2007 № 93. Зареєстровано в Міністерстві юстиції України 16.07.2007 за № 820/ 14087.

НД ТЗІ 1.1-002-99 Загальні положення щодо захисту інформації в комп'ютерних системах від несанкціонованого доступу.

НД ТЗІ 1.1-003-99 Термінологія в галузі захисту інформації в комп'ютерних системах від несанкціонованого доступу.

НД ТЗІ 2.5-004-99 Критерії оцінки захищеності інформації в комп'ютерних системах від несанкціонованого доступу.

НД ТЗІ 3.6-001-2000 Технічний захист інформації. Комп’ютерні системи. Порядок створення, впровадження, супроводження та модернізації засобів технічного захисту інформації від несанкціонованого доступу.

3 Визначення

У цьому НД ТЗI застосовуються терміни та визначення, встановлені ДСТУ 3396.2-97 та НД ТЗІ 1.1-003-99.

Крім цього, використано такі терміни та визначення.

Верифікація - одинична дія в процесі проведення оцінювання рівня гарантій коректності реалізації ФПБ, яка передбачає виконання докладного дослідження змісту матеріалів з метою прийняття рішення про достатність наведених у них аргументів на користь коректності доказів.

Випробування – експериментальне визначення кількісних та/або якісних характеристик властивостей об'єкта за результатом впливу на нього під час його функціонування.

Дослідження – одинична дія в процесі проведення оцінювання рівня гарантій коректності реалізації ФПБ, яка передбачає виконання поглибленого аналізу змісту матеріалів на предмет відповідності висунутим вимогам, з використанням спеціальних знань та досвіду експерта.

Засіб технічного захисту інформації від НСД – програмний, апаратний або програмно-апаратний засіб, який створюється як окремий продукт виробництва, має необхідну проектну та/або експлуатаційну документацію і забезпечує, самостійно або в комплексі з іншими засобами, захист від загроз НСД для оброблюваної в ІТС інформації.

Захищений від НСД компонент обчислювальної системи – програмний, апаратний або програмно-апаратний засіб, в якому додатково до основного призначення передбачено функції захисту інформації від загроз НСД.

Інформаційна модель процесу – модель процесу, надана у вигляді опису суттєвих для розгляду вхідних, вихідних та внутрішніх параметрів процесу та зв'язків між ними, яка дозволяє моделювати зміну вихідних параметрів процесу залежно від зміни певних його вхідних та внутрішніх параметрів.

Інформаційний ресурс – дані в електронному вигляді, які можуть бути багаторазово використані (оброблені) в певній інформаційно-телекомунікаційній системі.

Інформаційна система – організаційно-технічна система, в якій реалізується технологія оброблення інформації з використанням технічних і програмних засобів.

Інформаційно-телекомунікаційна система – сукупність інформаційних та телекомунікаційних систем, які в процесі оброблення інформації діють як єдине ціле. У контексті цього документа поняття інформаційно-телекомунікаційної системи розглядається як синонім поняття автоматизованої системи згідно з НД ТЗІ 1.1-003-99.

Методика перевірки дотримання вимог до рівня гарантій – визначені (встановлені) способи проведення перевірки дотримання вимог до рівня гарантій коректності реалізації ФПБ.

Об'єкт експертизи – засіб технічного захисту інформації від НСД, захищений від НСД компонент обчислювальної системи або КЗЗ КСЗІ, стосовно яких здійснюється експертиза з метою оцінювання рівня гарантій коректності реалізації ФПБ. У контексті цього документа поняття об'єкта експертизи розглядається як синонім поняття комп'ютерної системи згідно з НД ТЗІ 1.1-003-99.

Оцінювання – визначення ступеня відповідності об'єкта експертизи заданим критеріям.

Перевірка – одинична дія в процесі проведення оцінювання рівня гарантій коректності реалізації ФПБ, яка передбачає виконання простого порівняння змісту матеріалів з висунутими вимогами, без залучення спеціальних знань та досвіду експерта.

Працездатність – стан об'єкта експертизи, що характеризує його здатність виконувати певні функції із заданою ефективністю та протягом потрібного часу.

Програма перевірки рівня гарантій – документована сукупність вимог, що підлягає перевірці в процесі експертизи оцінюваного об'єкта експертизи на відповідність вимогам до рівня гарантій коректності реалізації ФПБ.

Телекомунікаційна система – сукупність технічних і програмних засобів, призначених для обміну інформацією шляхом передавання, випромінювання або приймання її у вигляді сигналів, знаків, звуків, рухомих або нерухомих зображень чи в інший спосіб.

Тестова процедура – документально зафіксована послідовність здійснення перевірок у процесі проведення випробувань.

Тестове покриття – показник, що характеризує здатність тестових процедур випробовувати вимоги до оцінюваного об'єкта експертизи.

Тестові дані – дані, що використовуються як вхідні в процесі проведення випробувань.