ГОСТ Р ИСО/МЭК 15408-2-2008

ФЕДЕРАЛЬНОЕ АГЕНТСТВО

                                               ПО ТЕХНИЧЕСКОМУ РЕГУЛИРОВАНИЮ И МЕТРОЛОГИИ




                                                     НАЦИОНАЛЬНЫЙ                         ГОСТ Р и с о / м э к
                                                        СТАНДАРТ
                                                      РОССИЙСКОЙ
                                                                                          15408-2—
                            ( Щ            >           ФЕДЕРАЦИИ                          2008



                                               Информационная технология
                                     МЕТОДЫ И СРЕДСТВА ОБЕСПЕЧЕНИЯ
                                             БЕЗОПАСНОСТИ
                                     КРИТЕРИИ ОЦЕНКИ БЕЗОПАСНОСТИ
                                      ИНФОРМАЦИОННЫХ ТЕХНОЛОГИЙ
                                                                  Ч а с т ь      2


                                    Функциональные требования безопасности
                                                               ISO/IEC 15408-2:2005
                                                Information technology—Security techniques —
                                  Evaluation criteria for IT security — Part 2: Security functional requirements
                                                                       (IDT)


                                                              Издание оф и ци ал ьн о е




                            fO
                            lO




                                                                        Стандацпинфсцрм
                                                                              2009




техническое свидетельство

ГОСТ Р И С О /М Э К 15408-2— 2008


                                                Предисловие

      Цели и принципы стандартизации в Российской Федерации установлены Федеральным законом
от 27 декабря 2002 г. № 184-ФЗ «О техническом регулировании», а правила применения национальных
стандартов Российской Федерации — ГОСТ Р 1.0—2004 «Стандартизация в Российской Федерации. Ос­
новные положения»

      С ведения о стандарте

     1 ПОДГОТОВЛЕН Обществом с ограниченной ответственностью «Центр безопасности информации»
(ООО «ЦБИ»), Федеральным государственным учреждением «4 Центральный научно-исследовательский
институт Министерства обороны России» (ФГУ «4 ЦНИИ Минобороны России»), Федеральным государ­
ственным унитарным предприятием «Научно-технический и сертификационный центр по комплексной за­
щите информации» ФГУП Центр «Атомзащитаинформ». Федеральным государственным унитарным пред­
приятием «Центральный научно-исследовательский институт управления, экономики и информации Рос­
атома» (ФГУП «ЦНИИАТОМИНФОРМ») при участии экспертов Международной рабочей группы по Общим
критериям на основе собственного аутентичного перевода стандарта, указанного в пункте 4

      2 ВНЕСЕН Техническим комитетом по стандартизации ТК 362 «Защита информации»

     3 УТВЕРЖДЕН И ВВЕДЕН В ДЕЙСТВИЕ Приказом Федерального агентства по техническому регули­
рованию и метрологии от 18 декабря 2008 г. Np 520-ст

     4 Настоящий стандарт идентичен международному стандарту ИСО/М ЭК 15408-2:2005 «Информаци­
онная технология. Методы и средства обеспечения безопасности. Критерии оценки безопасности информа­
ционных технологий. Часть 2. Функциональные требования безопасности» (ISO/IEC 15408-2:2005 «Information
technology — Security techniques — Evaluation criteria for IT security — Part 2: Security functional requirements»).
     При применении настоящего стандарта рекомендуется использовать вместо ссылочных междуна­
родных стандартов соответствующие им национальные стандарты Российской Федерации, сведения о
которых приведены в дополнительном приложении N

      5 ВЗАМЕН ГОСТ Р ИСО/М ЭК 15408-2—2002




     Информация об изменениях к настоящему ста н д а р ту публикуется в ежегодно издаваемом инфор­
мационном указателе «Национальные с та н д а р ты ». а т е к с т изменений и поправок — в ежемесячно
издаваемых информационных указателях «Национальные стандарты ». В случае пересмотра (замены)
или отмены настоящего стандарта соопзветствующее уведомление будет опубликовано в ежемесяч­
но издаваемом информационном указателе «Национальные стандарты ». С оответствую щ ая инфор­
мация. уведомления и т е к с т ы размещаются такж е в информациошюй системе общего пользования—
на официальном сайте Федерального а ге н тс тв а по техническому регулированию и метрологии в се ти
И нтернет




                                                                                       © Стаидартинформ. 2009

     Настоящий стандарт не может быть полностью или частично воспроизведен, тиражирован и распро­
странен в качестве официального издания без разрешения Федерального агентства по техническому регу­
лированию и метрологии

II

ГОСТ Р ИСО/М ЭК 15408-2— 2008


                                                                           Содержание
1  Область п р и м е н е н и я .........................................................................................................................................
2  Нормативные с с ы л к и ........................................................................................................................................
3  Термины, определения, обозначения и с о кр а щ е н и я ................................... ............................................
4  Краткий о б з о р .....................................................................................................................................................
   4.1 Структура данной части ИС О/М ЭК 15408 ...........................................................................................
5 Парадигма функциональных т р е б о в а н и й ...................................................................................................
6 Функциональные компоненты безопасности                                     ..............................................................................................
   6.1 Краткий о б з о р ..............................................................................................................................................
   6.2 Каталог к о м п о н е н т о в ................................................................................................................................
7 Класс FAU. Аудит б е зо п а с н о с ти ....................................................................................................................
   7.1 Автоматическая реакция аудита безопасности (F A U _A R P )..............................................................
   7.2 Генерация данных аудита безопасности (F A U _ G E N )........................................................................
   7.3 Анализ аудита безопасности (F A U _ S A A ).............................................................................................
   7.4 Просмотр аудита безопасности (F A U _ S A R )........................................................................................
   7.5 Выбор событий аудита безопасности (F A U _ S E L )..............................................................................
   7.6 Хранение данных аудита безопасности (F A U _S T G )...........................................................................
8 Класс FCO. С в я з ь ..............................................................................................................................................
   8.1 Неотказуемость отправления (F C O _ N R O )..........................................................................................
   8.2 Неотказуемость получения (F C O _ N R R )...............................................................................................
9 Класс FCS. Криптографическая п о д д е р ж к а ..............................................................................................
   9.1 Управление криптографическими ключами (F C S _ C K M )..................................................................
   9.2 Криптографические операции (F C S _ C O P )..........................................................................................
10 Класс FDP. Защита данных по л ь зо в ател я..................................................................................................
   10.1 Политика управления доступом (FD P _A C C ).....................................................................................
   10.2 Функции управления доступом (F D P _A C F ).......................................................................................
   10.3 Аутентификация данных (F D P _ D A U ).................................................................................................
   10.4 Экспорт данных за пределы действия ФБО (F D P _ E T C )..............................................................
   10.5 Политика управления информационными потоками ( F D P J F C ) ................................................
   10.6 Функции управления информационными потоками (F D P J F F )....................................................
   10.7 Импорт данных из-за пределов действия ФБО ( F D P J T C ) ..........................................................
   10.8 Передача в пределах ОО (F D P JT T ) ..................................................................................................
   10.9 Защита остаточной информации ( F D P _ R IP ) ..................................................................................
   10.10 Откат ( F D P _ R O L ) ................................ " ............................................................................................
   10.11 Целостность хранимых данных ( F D P _ S D I.....................................................................................
   10.12 Защита конфиденциальности данных пользователя при передаче между ФБО (F D P JJC T ).
   10.13 Защита целостности данных пользователя при передаче между ФБО (F D P _ U IT )...............
11 Класс FIA. Идентификация и аутентификация                                        .......................................................................................
   11.1 Отказы аутентификации ( F IA _ A F L ) ....................................................................................................
   11.2 Определение атрибутов пользователя (FIA_ATD) ........................................................................
   11.3 Спецификация секретов ( F IA _ S O S )...................................................................................................
   11.4 Аутентификация пользователя ( F IA J J A U ) .......................................................................................
   11.5 Идентификация пользователя ( F lA J J I D ) ................................................ ... .....................................
   11.6 Связывание пользователь-субъект (F IA _ U S B ) ...............................................................................
12 Класс FMT. Управление безопасностью                                  ...................................................................................................
   12.1 Управление отдельными функциями ФБО (F M T _ M O F ).................................................................
   12.2 Управление атрибутами безопасности (F M T _ M S A ).......................................................................
   12.3 Управление данными ФБО (FMT M T D ) ...........................................................................................
   12.4 Отмена (F M T _ R E V )................................................................................................................................
   12.5 Срок действия атрибута безопасности (F M T _ S A E ).......................................................................
   12.6 Спецификация функций управления (F M T _ S M F )..........................................................................
   12.7 Роли управления безопасностью (F M T _ S M R )................................................................................
13 Класс FPR. Приватность ...............................................................................................................................
   13.1 Анонимность (F P R _ A N O ).....................................................................................................................
   13.2 Псевдонимность (F P R _ P S E ) ...............................................................................................................
   13.3 Невозможность ассоциации (F P R _ U N L )..........................................................................................
                                                                                                                                                                              ill

ГОСТ Р И С О /М Э К 15408-2— 2008


14 Класс FPT. Защита Ф Б О ..................................................................................................................................60
   14.1 Тестирование базовой абстрактной машины (F P T _ A M T ).............................................................. 62
   14.2 Безопасность при сбое (F P T _ F L S )....................................................................................................... 62
   14.3 Доступность экспортируемых данных ФБО ( F P T J T A ) .................................................................. 63
   14.4 Конфиденциальность экспортируемых данных ФБО ( F P T J T C ) ................................................. 63
   14.5 Целостность экспортируемых данных ФБО ( F P T J T I) .................................................................... 64
   14.6 Передача данных ФБО в пределах ОО (F P T JT T ) ........................................................................ 65
   14.7 Физическая защита ФБО ( F P T _ P H P ) ................................................................................................ 66
   14.8 Надежное восстановление (F P T _ R C V ).............................................................................................. 68
   14.9 Обнаружение повторного использования (F P T _ R P L )................................................................... 69
   14.10 Посредничество при обращениях (F P T _ R V M )............................................................................... 70
   14.11 Разделение домена (F P T _ S E P ).......................................................................................................... 71
   14.12 Протокол синхронизации состояний (FPT_SSP) ......................................................................... 72
   14.13 Метки времени (F P T _ S T M ) ................................................................................................................. 73
   14.14 Согласованность данных ФБО между ФБО (F P T _ T D C ).............................................................. 73
   14.15 Согласованность данных ФБО при дублировании в пределах ОО (F P T _ T R C )...................... 74
   14.16 Самотестирование ФБО (F P T _ T S T ).................................................................................................. 74
15 Класс FRU. Использование р е с у р с о в .......................................................................................................... 75
   15.1 Отказоустойчивость (F R U _ F L T )............................................................................................................... 76
   15.2 Приоритет обслуживания (F R U _P R S )................................................................................................. 76
   15.3 Распределение ресурсов ( F R U _ R S A )............................................................................................... 77
16 Класс FTA. Доступ к О О .................................................................................................................................. 78
   16.1 Ограничение области выбираемых атрибутов (F T A _ L S A )............................................................ 79
   16.2 Ограничение на параллельные сеансы (F T A _M C S )........................................................................ 79
   16.3 Блокирование сеанса (F T A _ S S L )......................................................................................................... 80
   16.4 Предупреждения перед предоставлением доступа к ОО (FTAJTAB) ....................................... 81
   16.5 История доступа к ОО (FTA_TAH )......................................................................................................... 82
   16.6 Открытие сеанса с ОО (F T A _ T S E )....................................................................................................... 82
17 Класс FTP. Доверенный марш р у т /к а н а л .................................................................................................... 83
   17.1 Доверенный канал передачи между ФБО ( F T P J T C ) ...................................................................... 83
   17.2 Доверенный маршрут (FTP_TRP) ...................................................................................................... 84
Приложение А (обязательное) Замечания по применению функциональных требований безопасности. 86
   А.1 Структура з а м е ч а н и й ...................................................................................................................................... 86
   А.2 Таблицы за в и с и м о с т е й ...................................................................................................................................87
Приложение В (обязательное) Функциональные классы, семейства и ко м п о н е н ты ............................... 92
Приложение С (обязательное) Аудит безопасности ( F A U ) ........................................................................... 93
   С.1 Требования аудита в распределенной с р е д е ..................................................................................... 93
   С.2 Автоматическая реакция аудита безопасности (FAU_ARP) ......................................................... 93
   С.З Генерация данных аудита безопасности (FAU_GEN) ....................................................................... 93
   С .4 Анализ аудита безопасности (FAU_SAA) ..........................................................................................96
   С.5 Просмотр аудита безопасности (FAU_SAR) ..................................................................................... 98
   С.6 Выбор событий аудита безопасности (F A U _ S E L )............................................................................. 99
   C. 7 Хранение данных аудита безопасности (F A U _S T G ).....................................................................100
Приложение D (обязательное) Связь (F C O ).............................................................................................................102
   D . 1 Неотказуемость отправления (F C O _ N R O )......................................................................................... 102
   D. 2 Неотказуемость получения (F C O _N R R )............................................................................................. 103
Приложение Е (обязательное) Криптографическая поддержка ( F C S ) ......................................................105
   E . 1 Управление криптографическими ключами (F C S _ C K M )................................................................ 105
   E. 2 Криптографические операции (F C S _ C O P )...................................................................................... 107
Приложение F (обязательное) Защита данных пользователя ( F D P ) ......................................................... 108
   F. 1 Политика управления доступом (F D P _ A C C ).................................................................................. 109
   F.2 Функции управления доступом (F D P _ A C F )............................................................................................ 111
   F.3 Аутентификация данных (F D P _ D A U )....................................................................................................... 113
   F.4 Экспорт данных за пределы действия ФБО (F D P _ E T C )..................................................................113
   F.5 Политика управления информационными потоками ( F D P J F C ) ......................................................114
   F.6 Функции управления информационными потоками ( F D P J F F ) ...................................................... 115
   F.7 Импорт данных из-за пределов действия ФБО (F D P JT C ) ............................................................ 118
   F.8 Передача в пределах ОО (F D P JT T ) ...................................................................................................... 120
IV