14. Вопрос) исо/мэк 15408-2002. Общие критерии оценки защищённости информационных технологий.

Годом рождения стандарта можно считать 1990-й - именно тогда были начаты работы по созданию стандарта в области оценки безопасности информационных технологий (ИТ) под эгидой Международной организации по стандартизации (ИСО). Этот документ и был переведен и взят за основу при разработке ГОСТ/ИСО МЭК 15408-2002. Название стандарта сложилось исторически. Работы над ним велись при содействии государственных организаций по стандартизации США, Канады, Великобритании, Франции, Германии и Голландии и преследовали следующие концептуальные цели:

унификация различных национальных стандартов в области оценки безопасности ИТ;

повышение уровня доверия к оценке безопасности ИТ;

сокращение затрат на оценку безопасности ИТ на основе взаимного признания сертификатов.

Заметим также, что спецификации стандарта обобщили основные положения и опыт использования "Оранжевой книги" и ее интерпретаций, развили оценочные уровни доверия Европейских критериев, воплотили концепцию типовых профилей защиты Федеральных критериев США. Именно потому стандарт и получил название "Общие критерии" (ОК). Первая его версия датирована январем 1996 г., в мае 1998 г. появляется вторая версия ОК, и, наконец, в июне 1999 г. был принят международный стандарт ИСО/МЭК 15408.

Следует подчеркнуть, что положения ОК имеют достаточно обобщенный характер. По сути, "Общие критерии" не содержат определенных требований к конкретным системам защиты информации, а представляют собой некий набор определений и правил, в рамках которых можно описывать различные системы защиты. На основе ОК потребитель может сам оценить встроенные в приобретаемое ПО механизмы защиты и их достаточность для его нужд. Документ полезен и как руководство при разработке, причем не только специализированных средств защиты, но и любого ПО или аппаратных средств с функциями безопасности.

Как упоминалось выше, российский стандарт носит название ГОСТ Р ИСО/МЭК 15408 "Общие критерии оценки безопасности информационных технологий" и представляет собой точный перевод международного стандарта. Он принят постановлением Госстандарта России от 4.04.2002 г. № 133-ст с датой введения в действие 1 января 2004 г. Заметим, что появление этого ГОСТ отражает не только процесс совершенствования российских стандартов с использованием международного опыта, но и часть правительственной программы по вступлению России в ВТО (как известно, при вступлении в эту организацию в стране-претенденте должны быть унифицированы пошлины, налоги, стандарты на производство, стандарты качества и некоторые стандарты в области информационной безопасности).

"Общие критерии" заставляют отказаться от привычного нам представления, что функции защиты реализуют только специализированные средства. Общаясь на одном для всех языке ОК, производители и потребители любого ПО смогут оценить, насколько используемые в нем механизмы защиты отвечают требованиям политики безопасности организации. Кроме того, аудиторы, контролирующие адекватность мер безопасности, а также сотрудники уполномоченных органов, проводящих аттестацию систем ИТ, смогут оценивать выполнение требований по безопасности не отдельных компонентов, а системы в целом, причем в конкретной среде ее функционирования.