ГОСТ Р ИСО/МЭК 18045-2013

ФЕДЕРАЛЬНОЕ АГЕНТСТВО

                             ПО ТЕХНИЧЕСКОМУ РЕГУЛИРОВАНИЮ И МЕТРОЛОГИИ




                                          НАЦИОНАЛЬНЫЙ                       ГОСТР
                                             СТАНДАРТ
                                           РОССИЙСКОЙ
                                                                             исо/мэк
                                            ФЕДЕРАЦИИ                        18045    —


                                                                             2013




                              Информационная технология

                  МЕТОДЫ И СРЕДСТВА ОБЕСПЕЧЕНИЯ
                          БЕЗОПАСНОСТИ.
                 МЕТОДОЛОГИЯ ОЦЕНКИ БЕЗОПАСНОСТИ
                   ИНФОРМАЦИОННЫХ ТЕХНОЛОГИЙ
                                           ISO/IEC 18045:2008
                Information technology — Security techniques — Methodology for IT security
                                                evaluation
                                                   (IDT)


                                           Издание официальное




                                                      Москва
                                                  Стандартинф орм
                                                       2014




ткань кружево

ГОСТ Р ИСО/МЭК 18045—2013

                                         Предисловие

     1 ПОДГОТОВЛЕН Обществом с ограниченной ответственностью «Центр безопасности инфор­
мации» (ООО «ЦБИ»), Федеральным автономным учреждением «Государственный научно-исследо­
вательский испытательный институт проблем технической защиты информации Федеральной службы
по техническому и экспортному контролю» {ФАУ «ГНИИИ ПТЗИ ФСТЭК России»)

     2 ВНЕСЕН Техническим комитетом по стандартизации ТК 362 «Защита информации»

     3 УТВЕРЖДЕН И ВВЕДЕН В ДЕЙСТВИЕ Приказом Федерального агентства по техническому ре­
гулированию и метрологии от 28 августа 2013 г. №624-ст

      4 Настоящий стандарт идентичен международному стандарту ИСО/МЭК 18045:2008 «Информа­
ционная технология. Методы и средства обеспечения безопасности. Методология оценки безопасности
информационных технологий» («ISO/IEC Information technology — Security techniques — Methodology for
IT security evaluation»)
      При применении настоящего стандарта рекомендуется использовать вместо ссылочных между­
народных стандартов соответствующие им национальные стандарты Российской Федерации, сведения
о которых приведены в дополнительном приложении ДА

     5 ВЗАМЕН ГОСТ Р ИСО/МЭК 18045—2008

     Правила применения настоящего стандарта установлены в ГОСТ Р 1.0—2012 (раздел 8). Ин­
формация об изменениях к настоящему стандарту публикуется в ежегодном (по состоянию на 1 ян­
варя текущего года) информационном указателе «Национальные стандарты». а официальный
текст изменений и поправок — в ежемесячном информационном указателе «Национальные стан­
дарты». В случае пересмотра (замены) или отмены настоящего стандарта соответствующее
уведомление будет опубликовано в ближайшем выпуске информационного указателя «Националь­
ные стандарты». Соответствующая информация, уведомление и тексты размещаются также
в информационной системе общего пользования — на официальном сайте Федерального агент­
ства по техническому регулированию и метрологии в сети Интернет (gost.ru)




                                                                          © Стандартинформ. 2014

     Настоящий стандарт не может быть полностью или частично воспроизведен, тиражирован и рас­
пространен в качестве официального издания без разрешения Федерального агентства по техническо­
му регулированию и метрологии
II

ГОСТ Р ИСО/МЭК 18045—2013

                                                                       Содержание

1 Область применения.......................................................................................................................................... 1
2 Нормативные ссылки..........................................................................................................................................1
3 Термины и определения....................................................................................................................................1
4 Обозначения и сокращ ения............................................................................................................................. 2
5 Краткий обзор.......................................................................................................................................................3
  5.1 Структура стандарта.......................................................................                                                                        3
6 Принятые соглашения...........................                                                                                                                        3
  6.1 Терминология.............................................................................................................................................. 3
  6.2 Употребление гл аголов............................................................................................................................. 3
  6.3 Общие указания по о ц е н ке .......................................................................................................................3
  6.4 Взаимосвязь между структурами ИСО/МЭК 15408 и ИСО/МЭК 18045............................................. 3
7 Процесс оценки и соответствующие задачи оценки..................................................................................... 4
  7.1 Введение...................................................................................................................................................... 4
  7.2 Краткое описание процесса о ц е н ки ........................................................................................................ 4
  7.3 Задача получения исходных данных для оценки................................................................................... 7
  7.4 Подвиды деятельности по оценке............................................................................................................ 8
  7.5 Задача оформления результатов оценки................................................................................................8
8 Класс АРЕ: Оценка профиля защиты............................................................................................................ 13
  8.1 Введение.................................................................................................................................................... 13
  8.2 Замечания по применению................................................................................................. . ................ 13
  8.3 «Введение ПЗ» (A P E JN T ).......................................................................................................................13
  8.4 Утверждения о соответствии (APE_CCL)..............................................................................................14
  8.5 Определение проблемы безопасности (APE_SPD)............................................................................. 18
  8.6 Цели безопасности (APE_OBJ)...............................................................................................................19
  8.7 Определение расширенных компонентов (APE_EC D)...................................................................... 21
  8.8 Требования безопасности (APE_REQ)..................................................................................................24
9 Класс ASE: Оценка задания по безопасности.............................................................................................30
  9.1 Введение.................................................................................................................................................... 30
  9.2 Замечания по применению ..................................................................................................................... 30
  9.3 Введение ЗБ (A S E JN T )..................                                                                                                                      30
  9.4 Утверждения о соответствии (ASE_CCL)..............................................................................................32
  9.5 «Определение проблемы безопасности» (ASE_SPD)........................................................................ 37
  9.6 Цели безопасности (ASE_OBJ)...............................................................................................................38
  9.7 Определение расширенных компонентов (ASE_EC D)...................................................................... 40
  9.8 Требования безопасности ИТ (ASE_REQ)........................................................................................... 43
  9.9 Краткая спецификация ОО (ASE_TSS)..................................................................................................49
10 Класс ADV: Разработка................................................................................................................................. 50
  10.1 В ве д е н и е ................................................................................................................................................ 50
  10.2 Замечания по применению...................................................................................................................50
  10.3 Архитектура безопасности (ADV_ARC)................................................................................................51
  10.4 Функциональная спецификация (AD V_FSP)..................................................................................... 55
  10.5 Представление реализации (A D V JM P )..............................................................................................76
  10.6 Внутренняя структура ФБО (A D V JN T )................................................................................................78
  10.7 Моделирование политики безопасности (ADV_SMP) ....................................................................... 82
  10.8 Проект ОО (ADV_TDS)...................................... Т ................................................................................ 82
11 Класс AGD: Руководства............................................................................................................................. 106
  11.1 Введение................................................................................................................................................ 106
  11.2 Замечания по применению.................................................................................................................106
  11.3 Руководство пользователя по эксплуатации (AGD_OPE).............................................................. 106
  11.4 Подготовительные процедуры (AGD_PRE)....................................................................................... 109
12 Класс ALC: Поддержка жизненного цикла............................................................................................... 110
  12.1 Введение................................................................................................................................................ 110
  12.2 Возможности УК (ALC_CMC)............................................................................................................... 110
  12.3 Область УК (ALC_CMS)....................................................................................................................... 125
                                                                                                                                                                      III

ГОСТ Р ИСО/МЭК 18045—2013

  12.4 Поставка (ALC_DEL)......................................................................................................................             128
  12.5 Безопасность разработки (ALC_DVS)........................................................................................ .                          129
  12.6 Устранение недостатков (ALC_FLR)...........................................................................................                          133
  12.7 Определение жизненного цикла (ALC _LCD )............................................................................ .                               143
  12.8 Инструментальные средства и методы (ALC_TAT)....................... ......................................... .                                      145
13 Класс АТЕ: Тестирование....................................................................................................................              151
  13.1 Введение.........................................................................................................................................    151
  13.2 Замечания по применению.........................................................................................................                     151
  13.3 Покрытие (ATE_COV)....................................................................................................................               153
  13.4 Глубина (ATE_DPT)........................................................................................................................            154
  13.5 Функциональное тестирование (ATE_FUN).............................................................................. .                                159
  13.6 Независимое тестирование (ATEJND)......................................................................................                              162
14 Класс AVA: Оценка уязвимостей..........................................................................................................                  169
  14.1 Введение.........................................................................................................................................    169
  14.2 Анализ уязвимостей (AVA_VAN).................................................................................................                        169
15 Класс АСО: Композиция......................................................................................................................              192
  15.1 Введение.........................................................................................................................................    192
  15.2 Замечания по применению.........................................................................................................                     192
  15.3 Обоснование композиции (ACO_COR)........................................................................................                             193
  15.4 Свидетельство разработки (ACO_DEV).................................................................................... .                             198
  15.5 Зависимости зависимых компонентов (ACO_REL).................................................................                                         203
  15.6 Тестирование составного 0 0 {АС О _С ТТ)................................................................................ .                           206
  15.7 Анализ уязвимостей композиции (AC O _VUL)...........................................................................                                 211
Приложение А (информативное) Общие указания по оценке.............................................................                                          220
Приложение В (информативное) Оценка уязвимостей (AVA)............................................................. .                                        226
Приложение ДА (справочное) Сведения о соответствии ссылочных международных стандартов
                ссылочным национальным стандартам Российской Федерации ..........................                                                           241
Библиография.............................................................................................................................................   242




IV