ГОСТ Р ИСО/МЭК 15408-1—2002
Г О С У Д А Р С Т В Е Н Н Ы ЙС Т А Н Д А Р ТР О С С И Й С К О ЙФ Е Д Е Р А ЦИ И
Информационная технология
МЕТОДЫ И СРЕДСТВА ОБЕСПЕЧЕНИЯ БЕЗОПАСНОСТИ
КРИТЕРИИ ОЦЕНКИ БЕЗОПАСНОСТИ ИНФОРМАЦИОННЫХ ТЕХНОЛОГИЙ
Ч аст ь 1
Введение и общая модель
Information technology. Security techniques. Evaluation criteria for IT security.
Part I. Introduction and general mode!
Дата введения 2004—01—01
1 Область применения
ГОСТ Р ИСО/МЭК I540S определяет критерии, за которыми исторически закрепилось назва
ние «Общие критерии* (OK). ОК предназначены для использования в качестве основы при оценке
характеристик безопасности продуктов и систем информационных технологий (ИТ). Устанавливая
общую базу критериев, ОК делают результаты оценки безопасности ИТ значимыми для
более широкой аудитории.
ОК дают возможность сравнения результатов независимых оценок безопасности. Это достига
ется предоставлением общего набора требований кфункциям безопасности продуктов и систем ИТ
и к мерам доверия, применяемых к ним при оценке безопасности. В процессе оценки достигается
определенный уровень уверенности в том, что функции безопасности таких продуктов или систем,
а также предпринимаемые меры доверия отвечают предъявляемым требованиям. Результаты оценки
помогут потребителям решить, являются ли продукты или системы ИТ достаточно безопасными для
их предполагаемого применения и приемлемы ли прогнозируемые риски при их использовании.
ОК полезны в качестве руководства как при разработке продуктов или систем с функциями
безопасности ИТ. так и при приобретении коммерческих продуктов и систем с такими функциями.
При оценке такой продукт или систему ИТ называют объектом оценки (ОО). К таким ОО. например,
относятся операционные системы, вычислительные сети, распределенные системы к приложения.
ОК направлены на защиту информации от несанкционированного раскрытия, модификации
или потерн возможности ее использования. Категории зашиты, относящиеся к этим трем типам
нарушения безопасности, обычно называют конфиденциальностью, целостностью и доступностью
соответственно. ОК могут быть также применены ктем аспектам безопасности ИГ. которые
выходят за пределы этих трех понятий. ОК сосредоточены на угрозах информации, возникающих
врезультате действий человека, как злоумышленных, так и иных, но возможно также
применение ОК и для некоторых угроз, не связанных с человеческим фактором. Кроме того, ОК
могут быть применены и в других областях ИТ, но не декларируется их правомочность вне
строго ограниченной сферы безопасности ИГ.
ОК применимы к мерам безопасности ИТ, реализуемым аппаратными, программно-аппарат
ными и программными средствами. Если предполагается, чтоотдельные аспекты оценки применимы
только для некоторых способов реализации, это будет отмечено при изложении соответствующих
критериев.
Некоторые вопросы рассматриваются как лежащие вне области действия ОК. поскольку они
требуют привлечения специальных методов или яаляются смежными по отношению к безопасности
ИТ. Часть из них перечислена ниже.
И«айне официальное
I