ГОСТ Р ИСО/МЭК ТО 19791-2008

ФЕДЕРАЛЬНОЕ АГЕНТСТВО

                                         ПО ТЕХНИЧЕСКОМУ РЕГУЛИРОВАНИЮ И МЕТРОЛОГИИ




                                                    НАЦИОНАЛЬНЫЙ                     ГОСТ Р
                                                       СТАНДАРТ                      исо/мэк то
                                                     РОССИЙСКОЙ
                                                      ФЕДЕРАЦИИ
                                                                                     19791—
                                                                                     2008




                                          Информационная технология
                                  МЕТОДЫ И СРЕДСТВА ОБЕСПЕЧЕНИЯ
                                          БЕЗОПАСНОСТИ
                               Оценка безопасности автоматизированных систем
                                                      ISO/IEC TR 19791:2006
                                     Information technology — Security techniques — Security
                                                assessment of operational systems
                                                               (IDT)




                                                       И здание оф и ц иа л ьн о е




                           S
                           8


                           Ш



                                                                 С пнм рттф вр м
                                                                        2010




цели оценки недвижимости

ГОСТ Р ИСО/МЭК ТО 19791 — 2008


                                           Предисловие

     Цели и принципы стандартизации о Российской Федерации установлены Федеральным законом от
27 декабря 2002 г. Ыя 184-ФЗ «О техническом регулировании», а правила применения национальных стан­
дартов Российской Федерации — ГОСТ Р 1.0 — 2004 «Стандартизация в Российской Федерации. Основ­
ные положения»

     С ведения о стандарте

     1 ПОДГОТОВЛЕН Федеральным государственным учреждением «Государственный научно-исследо­
вательский испытательный институт проблем технической защиты информации Федеральной службы по
техническому и экспортному контролю» (ФГУ «ГНИИИ ПТЗИ ФСТЭК России»), Обществом с ограниченной
ответственностью «Центр безопасности информации» (ООО «ЦБИ») на основе собственного аутентичного
перевода стандарта, указанного в пункте 5

     2 ВНЕСЕН Управлением технического регулирования и стандартизации Федерального агентства по
техническому регулированию и метрологии

     3 УТВЕРЖДЕН И ВВЕДЕН В ДЕЙСТВИЕ Приказом Федерального агентства по техническому регули­
рованию и метрологии от 18 декабря 2008 г. No 525-ст.

     4 ВВЕДЕН ВПЕРВЫЕ

     5 Настоящий стандарт идентичен международному стандарту И С С Ш Э К/Т0 19791:2006 «Информаци­
онная технология. Методы и средства обеспечения безопасности. Оценка безопасности автоматизирован­
ных систем» (ISO/1EC/TR 19791:2006 «Information technology — Security techniques —Security assessment of
operational systems»).
     При применении настоящего стандарта рекомендуется использовать вместо ссылочных междуна­
родных стандартов соответствующие им национальные стандарты Российской Федерации, сведения о
которых приведены в дополнительном приложении Е




     Информация об изменениях к настоящему стандарту публикуется в ежегодно издаваемом инфор­
мационном указателе «Национальные стандарты». а текст изменений и поправок — в ежемесячно
издаваемых информационных указателях «Национальные стандарты». В случае пересмотра (замены)
или отмены настоящего стандарта соответствующее уведомление будет опубликовано в ежемесяч­
но издаваемом информационном указателе «Национальные стандарты». Соответствующая инфор­
мация. уведомления и тексты размещаются также в информационной системе общего пользования —
на официальном сайте Федералыюго агентства по техническому регулированию и метрологии в сети
Интернет




                                                                               ©Стандартинформ, 2010

     Настоящий стандарт не может быть полностью или частично воспроизведен, тиражирован и распро­
странен в качестве официального издания без разрешения Федерального агентства по техническому регу­
лированию и метрологии

ГОСТ Р ИСО/МЭК Т 0 19791 — 2008


                                                                            Содержание

1 Область п р и м е н е н и я ..........................................................................................................................................              1
2 Нормативные с с ы л к и .........................................................................................................................................                   1
3 Термины и о п р е д е л е н и я ...................................................................................................................................                2
4 С о кр а щ е н и я ..........................................................................................................................................................      3
5 Методологический подход к решению проблемы б е з о п а с н о с т и ...........................................................                                                     3
  5.1 Сущность автоматизированных с и с т е м ................................................................................................                                       3
  5.2 Обеспечение безопасности автоматизированных с и с т е м ..............................................................                                                         4
  5.3 Безопасность в жизненном цикле автоматизированных с и с т е м ...................................................                                                              6
  5.4 Взаимосвязь с другими с и с т е м а м и ........................................................................................................                               8
6 Распространение принципов оценки безопасности автоматизированных систем, установленных в
  стандартах серии ИСО/МЭК 15408 ...............................................................................................................                                     8
  6.1 Общие п о л о ж е н и я ........................................................................................................................................               8
  6.2 Основные принципы оценки б е з о п а с н о с т и ..........................................................................................                                    8
  6.3 Доверие к автоматизированным с и с т е м а м ..........................................................................................                                       10
  6.4 Комбинированные автоматизированные с и с т е м ы .............................................................................                                                11
  6.5 Тилы мер обеспечения б е з о п а с н о с т и ...................................................................................................                              14
  6.6 Функциональные возможности обеспечения безопасности с и с т е м ..............................................                                                                16
  6.7 Определение времени о ц е н к и .................................................................................................................                             17
  6.8 Использование оцененных п р о д у к т о в ...................................................................................................                                 17
  6.9 Требования к д о ку м е н т а ц и и .....................................................................................................................                     18
  6.10 Действия по те с т и р о в а н и ю .....................................................................................................................                     18
  6.11 Управление ко н ф и гур а ц и е й ....................................................................................................................                       19
7 Взаимосвязь с существующими стандартами б е з о п а с н о с т и .................................................................                                                 20
  7.1 Общие п о л о ж е н и я .......................................................................................................................................               20
  7.2 Взаимосвязь со стандартами серии ИСО/МЭК 15408 .......................................................................                                                        21
  7.3 Взаимосвязь со стандартами, не связанными с о ц е н к о й ................................................................                                                    21
  7.4 Взаимосвязь с разработкой Общих к р и т е р и е в ...................................................................................                                         22
8 Оценка автоматизированных с и с т е м ............................................................................................................                                22
  8.1 В в е д е н и е ........................................................................................................................................................      22
  8.2 Роли оценки и о б я за н н о с т и .......................................................................................................................                    22
  8.3 Оценка риска и определение неприемлемых р и с к о в ........................................................................                                                  24
  8.4 Определение проблемы б е зо п а с н о с ти ..................................................................................................                                 24
  8.5 Цели б е з о п а с н о с т и ......................................................................................................................................           24
  8.6 Требования б е з о п а с н о с т и ..........................................................................................................................                 25
  8.7 Задание по безопасности для с и с т е м ы ................................................................................................                                    27
  8.8 Периодическая п е р е о ц е н к а ......................................................................................................................                      29
Приложение А (обязательное) Профили защиты и задания по безопасности для автоматизированных
                 с и с т е м .........................................................................................................................- .................           30
Приложение В (обязательное) Функциональные требования безопасности автоматизированных
                 с и с т е м ................................................................................................................................................       41
Приложение С (обязательное) Требования доверия к безопасности автоматизированной системы . .                                                                                        64
Приложение D (справочное) Взаимосвязь с разработкой Общих к р и т е р и е в ........................................                                                               116
Приложение Е (справочное) Сведения о соответствии национальных стандартов Российской Феде­
                  рации ссылочным международным с т а н д а р т а м ..................................................................                                             118
Б и б л и о гр а ф и я ...........................................................................................................................................................   119




                                                                                                                                                                                   III

ГОСТ Р ИСО/МЭК ТО 19791 — 2008


                                           Введение

      Настоящий стандарт содержит дополнительные правила (процедуры) к международным стандартам
ИСО/МЭК 15408-1, ИСО/МЭК 15408-2, ИСО/МЭК 15408-3 (далее — стандарты серии ИСО/МЭК 15408)
в интересах оценки (оценивания) безопасности автоматизированных систем. Требования, установленные
в стандартах серии ИСО/МЭК 15408. обеспечивают задание и определение функциональных возможнос­
тей безопасности продуктов и систем, входящих в состав информационных технологий. Однако стандарты
серии ИСО/МЭК 15408 не рассматривают некоторые критические (важные) аспекты безопасности автомати­
зированной системы, которые должны быть четко специфицированы для их эффективного оценивания.
      Настоящий стандарт содержит дополнительные критерии оценки и рекомендации по оценке аспектов
безопасности, связанных как с информационными технологиями, так и с применением их в автоматизиро­
ванных системах. Настоящий стандарт прежде всего предназначен для тех. кто связан с разработкой,
интеграцией, развертыванием и управлением безопасностью автоматизированных систем, а также для
организаций, оказывающих услуги по оценке, пытающихся применить требования стандартов серии
ИСО/МЭК 15408 к подобным системам. Настоящий стандарт будет также необходим органам, осуществля­
ющим оценку соответствия, ответственным за утверждение и подтверждение правильности действий орга­
низаций, оказывающих услуги по оценке. Заказчики оценки безопасности и другие стороны, заинтересо­
ванные в безопасности автоматизированных систем, будут дополнительными пользователями сведений
общего характера в области безопасности информации.
      Относительно определения и использования термина «система» существуют фундаментальные про­
блемы. В стандартах серии ИСО/МЭК 15408. целью которых является оценка продуктов информационных
технологий, термин «система» используется для учета только аспектов информационных технологий конк­
ретной системы. Определение термина «автоматизированная система», используемого в настоящем стан­
дарте. включает в себя совокупность персонала, процедур и процессов, интегрированных с функциями и
механизмами информационных технологий, применяемых совместно, чтобы установить приемлемый уро­
вень остаточного риска в установленной среде функционирования автоматизированной системы.




IV