ГОСТ РИСО/МЭК 15408-1—2008
Н А Ц И О Н А Л Ь Н Ы ЙС Т А Н Д А Р ТР О С С И Й С К О ЙФ Е Д Е Р А Ц И И
Информационная технология
МЕТОДЫ И СРЕДСТВА ОБЕСПЕЧЕНИЯ БЕЗОПАСНОСТИ.
КРИТЕРИИ ОЦЕНКИ БЕЗОПАСНОСТИ ИНФОРМАЦИОННЫХ ТЕХНОЛОГИЙ
Ч а с т ь 1
Введение и общая модель
Information technology. Security techniques. Evaluation criteria tor IT security.
Part 1. Introduction and general model
Дата введения — 2009—10—01
1 Область применения
ИСО/МЭК 15408 предназначен для использования в качестве основы при оценке характеристик
безопасности продуктов или систем информационных технологий (ИТ). Устанавливая общую базу кри
териев. ИСО/МЭК 15408 позволяетсделать результаты оценки безопасности ИТзначимымидля более
широкой аудитории.
Некоторые вопросы рассматриваются как лежащие вне области действия ИСО/МЭК 15408,
поскольку они требуют привлечения специальных методов или являются смежными по отношению к
безопасности ИТ. Часть из них перечислена ниже:
a) ИСО/МЭК 15408 несодержит критериев оценки безопасности, касающихся административных
мер безопасности, непосредственно не относящихся к мерам безопасности ИТ. Известно, что безопас
ностьОО в значительной степени можетбытьдостигнута административными мерами, такими какорга
низационные меры, меры управления персоналом, меры управления физической защитой и
процедурныемеры. Административные мерыбезопасностив средеэксплуатацииОО рассматриваются
в качестве предположений о безопасном использовании там. где они влияют на способность мер
безопасности ИТ противостоятьустановленным угрозам.
b
) Оценкаспециальныхфизическихаспектовбезопасности ИТ.такихкакконтрольэлектромагнит
ного излучения, прямо не затрагивается, хотя многие концепции ИСО/МЭК 15408 применимы и в этой
области. В частности, рассмотрены некоторые аспекты физической защиты ОО.
c) В ИСО/МЭК 15408 не рассматривается ни методология оценки, ни административно-правовая
структура, в рамках которой критерии могут применяться органами оценки. Тем не менее,
ИСО/МЭК 15408 может использоваться для целей оценки в контексте такой структуры и такой методо
логии.
d) Процедуры использования результатов оценки безопасности при аттестации продуктов и сис
тем ИТ находятся вне областидействия ИСО/МЭК 15408. Аттестация продукта или системы ИТявляется
административным процессом, посредством которого предоставляются полномочия на их использова
ние в конкретной среде эксплуатации. Оценка концентрируется на тех аспектах безопасности продукта
или системы ИТи среды эксплуатации, которыемогутнепосредственновлиять на безопасноеиспользо
вание элементов ИТ. Результаты процесса оценки безопасности являются, следовательно, важными
исходными материалами для процесса аттестации. Однако, поскольку для оценки не связанных с ИТ
характеристик безопасности продукта или системы, а также их соотнесения с аспектами безопасности
ИТ более приемлемы другие способы, аттестующим следует предусмотреть для этих аспектов особый
подход.
Издание официальное
1