ГОСТ Р 57628-2017 Информационная технология (ИТ). Методы и средства обеспечения безопасности. Руководство по разработке профилей защиты и заданий по безопасности

     8 Спецификация раздела "Утверждения о соответствии"

В данном разделе представлены рекомендации по спецификации раздела "Утверждения о соответствии" в ПЗ или ЗБ. Раздел ЗБ "Утверждения о соответствии" описывается в ГОСТ Р ИСО/МЭК 15408-1 (подраздел А.5), а отличия раздела ПЗ "Утверждения о соответствии" от аналогичного раздела ЗБ описываются в ГОСТ Р ИСО/МЭК 15408-1 (подраздел В.5).

В разделе "Утверждения о соответствии" в ПЗ или ЗБ описывается соответствие профиля защиты или задания по безопасности:

а) ГОСТ Р ИСО/МЭК 15408. В текст раздела включается указание точной редакции ГОСТ Р ИСО/МЭК 15408, которая была использована для разработки (и, возможно, также для оценки) ПЗ или ЗБ. Если использовался отличный от национального стандарта ГОСТ Р ИСО/МЭК 15408 перевод ISO/IEC 15408 (например, РД БИТ [5]), это также должно быть указано. Если были использованы редакции ГОСТ Р ИСО/МЭК 15408 с какими-либо внесенными исправлениями или иные сопутствующие документы, информация об этом должна быть указана;

б) профилям защиты. В текст раздела включается перечисление профилей защиты, о соответствии которым утверждается в ПЗ или ЗБ. Достаточно привести список ПЗ. Приводить дополнительную информацию в данном разделе не требуется;

в) пакетам требований безопасности. В текст раздела включается перечисление пакетов требований безопасности, на которые даны ссылки в ПЗ или ЗБ. Обычной практикой является утверждение соответствия одному из пакетов доверия (ОУД), определенному в ГОСТ Р ИСО/МЭК 15408-3, возможно, с усилением и расширением. Использование пакетов рассмотрено далее в 15.3. В данном случае также просто достаточно списка; приводить дополнительную информацию в данном разделе не требуется.

Указанные утверждения также применимы к ОО, основанному на соответствующем ПЗ или ЗБ.

Современные продукты ИТ могут быть комплексными изделиями. Например, один продукт ИТ может реализовывать функциональность системы обнаружения вторжений и средства антивирусной защиты. В этом случае разработчик (заявитель) может быть заинтересован в проведении сертификации продукта ИТ как по требованиям для систем обнаружения вторжений, так и по требованиям для средств антивирусной защиты. Для этого заявитель может включить в задание по безопасности утверждения о соответствии сразу двум профилям защиты (для СОВ и САВЗ).

При разработке ПЗ следует определить, каким образом другие ПЗ и ЗБ должны соответствовать данному ПЗ. Возможны два типа соответствия:

а) строгое. По сути, оно означает, что ПЗ или ЗБ, соответствующие рассматриваемому ПЗ, должны полностью соответствовать ему по содержанию. Подробные требования по этому вопросу приведены в ГОСТ Р ИСО/МЭК 15408-1 (подраздел 8.3);

б) демонстрируемое. По сути, оно означает, что ПЗ или ЗБ, соответствующие рассматриваемому ПЗ, должны быть "эквивалентны" ему. Подробные требования и для этого случая приведены в ГОСТ Р ИСО/МЭК 15408-1 (подраздел 8.3).

Разработчикам ПЗ, которые разрабатывают его в качестве точной и полной спецификации продукта ИТ, приобретаемого или создаваемого (разрабатываемого) для собственного использования, следует требовать строгого соответствия. При разработке ПЗ с другой целью допускается использовать и "демонстрируемое" соответствие.

Если утверждается о соответствии функциональному пакету или другому ПЗ, то определение проблемы безопасности, цели безопасности и требования безопасности должны быть совместимы с этим пакетом или ПЗ.

Если разработчики ПЗ или ЗБ включают дополнительные требования к приведенным в ПЗ, на который дана ссылка, то им следует удостовериться, что не возникает таких противоречий между требованиями, в результате которых ни один ОО не сможет реализовать все требования одновременно.

В ПЗ, утвержденных ФСТЭК России, принят следующий подход к определению типов соответствия при разработке ЗБ и (или) других ПЗ на основе утвержденного профиля защиты:

- требуется "строгое" соответствие профилю защиты - если рассматриваемый ПЗ является единственным ПЗ, утверждение о соответствии которому включено в ЗБ;

- допускается "демонстрируемое" соответствие профилю защиты - если ОО является комплексным продуктом (изделием) и в ЗБ включено утверждение о соответствии (помимо рассматриваемому ПЗ) другому (другим) ПЗ.

В настоящее время действуют различные типы нормативных и методических документов ФСТЭК России, определяющие требования к средствам защиты информации:

- нормативные правовые акты и профили защиты (например, для средств контроля съемных машинных носителей информации, межсетевых экранов, операционных систем), разработанные в соответствии с действующей редакцией ГОСТ Р ИСО/МЭК 15408 (2012, 2013 гг.);

- нормативные правовые акты и профили защиты (например, для средств антивирусной защиты, систем обнаружения вторжения, средств доверенной загрузки), разработанные в соответствии с редакцией ГОСТ Р ИСО/МЭК 15408 (2008 г.);

- руководящие документы ФСТЭК (Гостехкомиссии) России, такие как "Средства вычислительной техники. Защита от несанкционированного доступа к информации. Показатели защищенности от несанкционированного доступа к информации" (1992 г.), "Защита от несанкционированного доступа к информации. Часть 1. Программное обеспечение средств защиты информации. Классификация по уровню контроля недекларированных возможностей" (1999 г.);

- другие документы, определяющие в том числе требования к техническим мерам и средствам защиты информации, такие как "Требования о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах" [6], "Состав и содержание организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных" [7], "Требования к обеспечению защиты информации в автоматизированных системах управления производственными и технологическими процессами на критически важных объектах, потенциально опасных объектах, а также объектах, представляющих повышенную опасность для жизни и здоровья людей и для окружающей природной среды" [8].

Формат, структура и стиль изложения требований к средствам защиты информации в этих документах могут отличаться. В этих условиях при подготовке к сертификации комплексного изделия, которое должно соответствовать требованиям сразу нескольких нормативных и (или) методических документов, наиболее подходящим способом объединения требований всех этих документов представляется разработка единого задания по безопасности на изделие.

При этом целесообразно руководствоваться следующими правилами:

1) При необходимости соответствия нескольким ПЗ, разработанным в соответствии с разными редакциями ГОСТ Р ИСО/МЭК 15408, следует разрабатывать ЗБ в соответствии с действующей редакцией ГОСТ Р ИСО/МЭК 15408.

Примечание - Необходимо учитывать, что впоследствии оценка ЗБ будет проводиться по требованиям класса ASE действующей редакции ГОСТ Р ИСО/МЭК 15408. В отдельных случаях возможна разработка единого задания по безопасности в соответствии с РД БИТ.

2) При необходимости соответствия ПЗ разным редакциям ГОСТ Р ИСО/МЭК 15408 требования доверия к безопасности в ЗБ можно определить следующим способом.

За основу следует взять пакет доверия из ПЗ, разработанного в соответствии с действующей редакцией ГОСТ Р ИСО/МЭК 15408. При этом автоматически обеспечивается покрытие требований других пакетов доверия из ранее выпущенных ПЗ для соответствующего класса защиты. Например, если необходимо соответствие изделия профилю защиты для САВЗ (по ГОСТ Р ИСО/МЭК 15408-2008) и профилю защиты для СКН (по ГОСТ Р ИСО/МЭК 15408-2012, 2013), то необходимо в качестве основы требований доверия в ЗБ использовать пакет доверия из ПЗ для СКН.

Примечание - Необходимо учитывать, что впоследствии оценка ОО будет осуществляться в соответствии с действующей редакцией ГОСТ Р ИСО/МЭК 18045 (в частности, для приведенного выше примера по ГОСТ Р ИСО/МЭК 18045-2013).