ГОСТ Р ИСО/МЭК 15408-3—2002
Введение
Проблема обеспечения безопасности информационных технологий занимает всеболее значитель
ное место вреализации компьютерных систем и сетей по мере того, как возрастает их рать винформа
тизации общества. Обеспечение безопасности информационныхтехнологий (ИТ) представляетсобой
комплексную проблему, которая решается в направлениях совершенствования правового регулирова
ния применения ИТ, совершенствования методов и средств их разработки, развития системы сертифи
кации. обеспечения соответствующихорганизационно-технических условий эксплуатации. Ключевым
аспектом решения проблемы безопасности ИТ является выработка системы требований, критериев
и показателей для оценки уровня безопасности ИТ.
ГОСТ Р ИСО/МЭК 15408 содержит общие критерии оценки безопасности информационных
техиатогий.
ГОСТ Р ИСО/МЭК 15408-1устанаативает общий подход к формированию требований к оценке
безопасности (функциональные и доверия), основные конструкции (профиль защиты, задание по
безопасности) представления требований безопасности в интересах потребителей, разработчиков и
оценщиков продуктов и систем ИТ. Требования безопасности объекта оценки (ОО) по методологии
Общих критериев определяются исходя из целей безопасности, которые, всвою очередь, основывают ся
на анализе назначения ОО и условий среды его использования (угроз, предложений, политики
безопасности).
ГОСТ Р ИСО/МЭК 15408-2 содержит универсальный систематизированный каталог функцио
нальных требований безопасности и предусматривает возможность их детализации и расширения по
определенным правилам.
ГОСТ Р ИСО/МЭК 15408-3 включается всебя систематизированный каталог требований дове
рия. определяющих меры, которые должны быть приняты на всех этапах жизненного никла продукта
или системы ИТ для обеспечения уверенности в том, что они удовлетворяют предъявленным к ним
функциональным требованиям. Здесьже содержатся оценочные уровни доверия, определяющие шкалу
требований, которые позволяютс возрастающей степенью полноты и строгости оценить проектную,
тестовую и эксплуатационнуюдокументацию, правильность реализации функций безопасности ОО,
уязвимости продукта или системы ИТ, стойкость механизмов зашиты и сделать заключение об
уровне доверия к безопасности объекта оценки.
V