Đề tài Khoa học Kỹ thuật


TÌNH HÌNH TIÊU CHUẨN HÓA VỀ AN TOÀN THÔNG TIN VÀ ĐÁNH GIÁ AN TOÀN THÔNG TIN



tải về 459.59 Kb.
trang2/4
Chuyển đổi dữ liệu26.11.2017
Kích459.59 Kb.
#2981
1   2   3   4

2TÌNH HÌNH TIÊU CHUẨN HÓA VỀ AN TOÀN THÔNG TIN VÀ ĐÁNH GIÁ AN TOÀN THÔNG TIN

2.1 Các tiêu chuẩn quốc tế về an toàn thông tin và đánh giá an toàn thông tin


Các tổ chức viễn thông quốc tế đã nghiên cứu và đưa ra nhiều tài liệu, tiêu chuẩn về lĩnh vực an toàn thông tin như:

  1. ISO/IEC 27000 Information technology - Security techniques - Information security management systems

Đây là bộ tiêu chuẩn về an toàn thông tin do Tổ chức Tiêu chuẩn hóa Quốc tế (ISO) phối hợp với Ủy ban Kỹ thuật điện quốc tế (IEC) xây dựng nhằm giúp các tổ chức có được một công cụ cần thiết áp dụng các quy phạm an toàn thông tin tốt nhất vào hoạt động kinh doanh hàng ngày. ISO 27000 đưa ra một phạm vi rộng lớn về Khung Chính sách mà có thể thay đổi và áp dụng theo nhu cầu riêng của từng tổ chức và từ đó có thể xây dựng Văn hóa an ninh thông tin một cách toàn diện.

Mối quan hệ giữa các tiêu chuẩn trong bộ ISO/IEC 27000



c:\users\hdtri\desktop\untitled.png

Hình 1: Mối quan hệ giữa các tiêu chuẩn trong bộ ISO/IEC 27000

  1. ISO/IEC 15408 Information Technology - Security Techniques - Evaluation Criteria for IT Security

Chuẩn này là một chuẩn quốc tế đánh giá về an toàn công nghệ thông tin. Mục đích của chuẩn này là giúp cho người sử dụng biết rõ các yêu cầu về an toàn đối với sản phẩm công nghệ họ cần, cho phép các nhà phát triển chỉ rõ các thuộc tính an toàn trong các sản phẩm công nghệ của họ xây dựng và cho phép các nhà đánh giá quyết định xem các sản phẩm có thực sự đáp ứng được yêu cầu về an toàn mà họ đưa ra không.

ISO/IEC 15408 được trình bày dưới dạng một tập hợp của ba phần riêng biệt song có liên quan mật thiết nhau, nhằm đưa ra bộ khung đánh giá chung và các tiêu chí đánh giá chung nhất cho đánh giá an toàn thông tin.

Phần 1 (ISO/IEC 15408–1) là phần giới thiệu và trình bày về mô hình tổng quát.

Phần 2 (ISO/IEC 15408-2) là phần đề cập đến các thành phần chức năng an toàn cho các sản phẩm và hệ thống CNTT. Các yêu cầu chức năng an toàn được chuẩn hóa chung cho các sản phẩm và hệ thống CNTT và được biểu diễn trong một tập hợp các thành phần chức năng, các họ và các lớp.



Phần 3 (ISO/IEC 15408-3 là phần đề cập đến các thành phần đảm bảo an toàn cho các sản phẩm và hệ thống CNTT. Các tiêu chí đảm bảo an toàn được chuẩn hóa chung cho các sản phẩm và hệ thống CNTT và được biểu diễn dưới dạng một tập hợp các thành phần, các họ và các lớp trong một hồ sơ bảo vệ hoặc một tập đích an toàn.

  1. ISO/IEC 18045:2005. Information technology - Security Techniques - Methodology for IT Security Evaluation

ISO/IEC 18045 là tài liệu đi kèm ISO/IEC 15408: “công nghệ thông tin - các kỹ thuật an toàn – tiêu chí đánh giá an toàn thông tin”. ISO/IEC 18045 qui định những hành động tối thiểu mà một người đánh giá cần thực hiện theo một thứ tự nhất định để kiểm soát việc đánh giá trong ISO/IEC 15408, sử dụng tiêu chí và những căn cứ đánh giá được định nghĩa trong ISO/IEC 15408.

  1. ISO/IEC 19791:2010. Information technology - Security Techniques - Security assessment of operational systems

Tiêu chuẩn này là một tài liệu hỗ trợ, nó định nghĩa các phần mở rộng của chuẩn quốc tế ISO/IEC 15408 để cho phép đánh giá sự an toàn của các hệ thống vận hành. Tiêu chuẩn này cung cấp những hướng dẫn và tiêu chí đánh giá an toàn các hệ thống vận hành. Nó mở rộng phạm vi của tiêu chuẩn ISO/IEC 15408 bằng cách đưa ra một số khía cạnh quan trọng của hệ thống vận hành mà không được đề cập trong khi đánh giá theo tiêu chuẩn ISO/IEC 15408.

  1. ISO/IEC 19792:2010. Information technology - Security Techniques - Security assessment of biometrics

Tiêu chuẩn này quy định cụ thể các đối tượng được đề cập trong quá trình đánh giá an toàn sinh trắc học.

  1. ISO/IEC 18028  Information technology - Security techniques - IT network security

Đây là chuẩn về an toàn mạng IT. Mục đích chung của ISO/IEC 18028 là đưa ra những hướng dẫn quản lý an toàn mạng IT được quy định trong ISO/IEC 13335, chuẩn này trình bày khá kĩ về những cơ cấu và những thao tác cụ thể để thực hiện kiểm soát và đảm bảo an toàn mạng trong phạm vi môi trường mạng rộng hơn. Những cá nhân trong mộtorganization that are responsible for IT security in general, and IT network security in particular, should be tổ chức có trách nhiệm bảo mật mạng IT nói chung, và mạng lưới an ninh CNTT nói riêng phảiable to adapt the material in ISO/IEC 18028 to meet their specific requirements. nắm rõ nội dung chuẩn ISO/IEC 18028 để đáp ứng yêu cầu cụ thể của họ.

  1. ISO/IEC TR 15443-1:2005 Information technology - Security techniques - A framework for IT security  assurance

ISO/IEC TR 15443-1:2005 mô tả các nguyên tắc cơ bản để đảm bảo an toàn và các mối quan hệ của nó với các khái niệm an toàn khác. Điều này là để làm rõ tại sao cần phải đảm bảo an toàn và xoá bỏ việc hiểu không đúng về việc bảo đảm an toàn đó là tăng việc bảo đảm an toàn bằng cách tăng sức mạnh cơ chế bảo mật. Chuẩn này cũng đưa ra một khung chuẩn về đảm bảo an toàn IT bao gồm cả việc phân loại các kiểu đảm bảo an toàn IT và một model chu kì đời sống chung để nhận biết các kiểu đảm bảo an toàn thích hợp.

Nhận xét: Trong số các tiêu chuẩn trên, chỉ có chuẩn ISO/IEC 18045:2008 nói về hệ thống phương pháp đánh giá an toàn CNTT.

Vấn đề an toàn thông tin đang ngày càng cấp bách trên thế giới. Hàng loạt các sự cố về mạng, các vấn nạn trong các lĩnh vực ngân hàng, tài chính, thương mại… liên quan đến an toàn thông tin. Do vậy, việc đánh giá an toàn thông tin cho các sản phẩm và hệ thống, việc đưa ra các tiêu chí chung cho hệ thống đánh giá đã được các tổ chức tiêu chuẩn thế giới quan tâm. Tổ chức tiêu chuẩn quốc tế ISO đã ban hành bộ tiêu chuẩn ISO/IEC 15408 để phục vụ cho mục đích này. Bộ tiêu chuẩn ISO/IEC 15408 gồm 3 tập bắt đầu được ban hành từ năm 1999, phiên bản thứ 2 được ban hành năm 2005 thay thế toàn bộ phiên bản đầu. Phiên bản thứ 3 được ban hành trong năm 2008 và 2009. Chính sự phát triển công nghệ, dịch vụ cũng như việc tăng khả năng triển khai áp dụng tiêu chuẩn vào thực tiến đã dẫn đến các cập nhật, sửa đổi, bổ sung trên của bộ tiêu chuẩn. Song song với việc ban hành bộ tiêu chuẩn ISO/IEC 15408, tổ chức ISO cũng đã ban hành tiêu chuẩn ISO/IEC 18045 về hệ thống các phương pháp đánh giá an toàn thông tin nhằm hỗ trợ việc triển khai ISO/IEC 15408.

Hình 2 mô tả quá trình hình thành và phát triển của bộ tiêu chuẩn ISO/IEC trên thế giới. Hình 3 mô tả quá trình hình thành cộng đồng tiêu chí chung.





Hình 2 – Quá trình hình thành và phát triển của ISO/IEC 15408



Hình 3 – Quá trình hình thành cộng đồng CC (Common Criteria)

Các tiêu chuẩn đánh giá an toàn thông tin rất đa dạng do tính đa dạng của các sản phẩm và các hệ thống CNTT. Các nước phát triển đều xây dựng các tiêu chuẩn riêng ứng với các sản phẩm và hệ thống CNTT của mình. Tuy nhiên, các tiêu chuẩn đánh giá cụ thể cho từng sản phẩm và hệ thống CNTT đều dựa trên các tiêu chí chung của tiêu chuẩn ISO/IEC 15408. Đây được xem là bộ các tiêu chí chung nhất để đánh giá các sản phẩm, thiết bị và hệ thống công nghệ thông tin.

Trong Hình 4 và Hình 5 là ví dụ về một báo cáo công nhận tuân thủ theo các tiêu chí chung trong chuẩn ISO/IEC 15408 cho một thiết bị Server.



Hình 4 – Ví dụ về một báo cáo công nhân tuân thủ



Hình 5 – Ví dụ về các sản phẩm đã được đánh giá và xác nhận

3

42.2 Tình hình xây dựng, công bố TCVN về an toàn thông tin và đánh giá an toàn thông tin

5 Trong thời gian qua, Bộ Thông tin và Truyền thông đã tổ chức xây dựng và đề nghị công bố nhiều tiêu chuẩn quốc gia về an toàn thông tin và đánh giá an toàn thông tin. Những bộ tiêu chuẩn chính cụ thể là:

  1. Bộ TCVN về hệ thống quản lý an toàn thông tin, chấp nhận bộ tiêu chuẩn quốc tế ISO/IEC 27000:

6Bộ Thông tin và Truyền thông đã xây dựng và đề nghị công bố các TCVN tương đương với các phần trong bộ tiêu chuẩn ISO/IEC 27000, đó là ISO/IEC 27001, ISO/IEC 27002, ISO/IEC 27003, ISO/IEC 27004, ISO/IEC 27005, ISO/IEC 27010. Hiện nay Bộ Thông tin và Truyền thông vẫn đang tiếp tục hoàn thiện để công bố tiếp các TCVN tương đương với ISO/IEC 27033, ISO/IEC 27035…


  1. Bộ TCVN về tiêu chí chung đánh giá an toàn công nghệ thông tin, chấp nhận bộ tiêu chuẩn quốc tế ISO/IEC 15408:

Bộ Thông tin và Truyền thông đã tổ chức xây dựng và đề nghị công bố TCVN 8709-1:2011, TCVN 8709-2:2011, TCVN 8709-3:2011 tương đương với các tiêu chuẩn ISO/IEC 15408 -1:2009, ISO/IEC 15408 -2:2008, ISO/IEC 15408 -3:2008.

Tuy nhiên TCVN về hệ thống phương pháp đánh giá an toàn công nghệ thông tin theo các tiêu chí chung về an toàn công nghệ thông tin quy định trong ISO/IEC 15408 lại chưa có, do vậy việc xây dựng TCVN trên cơ sở ISO/IEC 18045 (tài liệu song hành với ISO/IEC 15408) là cần thiết nhằm có bộ tiêu chuẩn quốc gia hoàn chỉnh phục vụ việc đánh giá an toàn thông tin cho các sản phẩm hệ thống CNTT.


72.3 Giới thiệu Bộ tiêu chuẩn TCVN 8709 (ISO/IEC 15408)


Bộ tiêu chuẩn TCVN 8709 bao gồm ba thành phần sau, dưới tiêu đề chung là: CNTT – Các kỹ thuật an toàn – Các tiêu chuẩn cho đánh giá an toàn CNTT:

Phần 1: Giới thiệu và mô hình tổng thể (Part 1: Introduction and general model )

Phần 2: Các thành phần chức năng an toàn (Part 2: Security functional requirements )

Phần 3: Các thành phần đảm bảo an toàn (Part 3: Security assurance requirements )

TCVN 8709 được trình bày dưới dạng một tập hợp của ba phần riêng biệt song có liên quan mật thiết nhau, nhằm đưa ra bộ khung đánh giá chung và các tiêu chí đánh giá chung nhất cho đánh giá an toàn thông tin.

Phần 1 (TCVN 8709–1) là phần giới thiệu và trình bày về mô hình tổng quát. Trong phần này có định nghĩa các khái niệm và nguyên tắc chung cho đánh giá an toàn CNTT, trình bày một mô hình tổng quát cho đánh giá, các cấu trúc biểu thị các mục tiêu an toàn CNTT, các cấu trúc lựa chọn và xác định các yêu cầu an toàn CNTT. Nội dung phần 1 đưa ra các thông tin cơ sở và mô hình tham chiếu khi đánh giá; hướng dẫn lập các đặc tả mức cao cho các sản phẩm và hệ thống; cấu trúc các hồ sơ bảo vệ và các tập đích an toàn, xây dựng các yêu cầu và các đặc tính an toàn cho các sản phẩm và hệ thống CNTT.

Phần 2 (TCVN 8709-2) hướng dẫn lập báo cáo các thành phần chức năng an toàn cho các sản phẩm và hệ thống CNTT. Các thành phần chức năng an toàn được chuẩn hóa chung cho các sản phẩm và hệ thống CNTT và được biểu diễn trong một tập hợp các thành phần đảm bảo, các họ và các lớp. Phần 2 được dùng làm tham chiếu cho các tiêu chí đánh giá bắt buộc trong báo cáo về yêu cầu chức năng an toàn, để xác định xem một sản phẩm hay hệ thống CNTT có thỏa mãn các tiêu chí đánh giá đã nêu hay không.

Phần 3 (TCVN 8709-3 hướng dẫn lập báo cáo cấp độ các thành phần đảm bảo an toàn cho các sản phẩm và hệ thống CNTT. Các tiêu chí đảm bảo an toàn được chuẩn hóa chung cho các sản phẩm và hệ thống CNTT và được biểu diễn dưới dạng một tập hợp các thành phần, các họ và các lớp trong một hồ sơ bảo vệ hoặc một tập đích an toàn. Phần 3 được dùng làm tham chiếu cho các tiêu chí đánh giá bắt buộc trong báo cáo về thành phần đảm bảo an toàn, để đánh giá cho các hồ sơ bảo vệ và các tập đích an toàn, xác định cấp độ đảm bảo an toàn cho một sản phẩm hay hệ thống CNTT trên cơ sở mức độ thỏa mãn các tiêu chí đánh giá đã nêu.

Như vậy, trong 3 phần của bộ tiêu chuẩn, phần 1 là phần tổng quan, trình bày mô hình tổng quát cho đánh giá an toàn thông tin; phần 2 và phần 3 là chi tiết các tiêu chí chung về đảm bảo an toàn và yêu cầu đảm bảo chung cho các sản phẩm và hệ thống CNTT.

 Quan điểm và các nguyên tắc đánh giá tính an toàn của sản phẩm CNTT trong  tiêu chí chung để đánh giá an toàn công nghệ thông tin (CC) hay TCVN 8709 được thông qua một loạt các khái niệm và cấu trúc mà việc hiểu sâu sắc chúng là tiền đề để sử dụng hiệu quả CC. Các khái niệm cốt lõi nhất phản ánh được. những quan điểm và phương pháp của CC gồm: Đối tượng đánh giá, mục tiêu an toàn, yêu cầu an toàn, các mức kiểm định và các cấu trúc “Hồ sơ bảo vệ”, cấu trúc “lớp - họ - thành phần”, sẽ được xem xét sau đây:



Đối tượng đánh giá (TOE - Evaluation object) là sản phẩm CNTT đưa ra đánh giá. CC qui định sản phẩm là tập hợp các phương tiện CNTT thực hiện các chức năng nhất định, được sử dụng trực tiếp hoặc tích hợp vào hệ thống. Như vậy, sản phẩm theo CC được hiểu là đơn lẻ hoặc là hệ thống, vì hệ thống là sự khai thác sản phẩm trong các điều kiện cụ thể. CC đòi hỏi đối tượng đánh giá phải được xem xét trong môi trường an toàn cụ thể bao gồm môi trường pháp lý (các qui định, các văn bản hướng dẫn liên quan tới TOE); môi trường hành chính, quản trị (các điều khoản của chính sách an toàn, các chương trình an toàn có liên quan đến đối tượng); môi trường vật lý và các biện pháp bảo vệ vật lý; môi trường kỹ thuật (mục đích sử dụng của TOE và các lĩnh vực sử dụng, các tài nguyên cần bảo vệ bằng các phương tiện của TOE). Khi mô tả môi trường của đối tượng, vấn đề quan trọng là mô tả các nguy cơ mất an toàn, gồm cả những nguy cơ hiện thực và các nguy cơ giả định.

Mục tiêu an toàn (ST- Security target) là tập hợp các yêu cầu an toàn và những đặc tả dùng làm cơ sở để đánh giá tính an toàn của sản phẩm. Mục tiêu an toàn được xây dựng sau khi phân tích môi trường an toàn, tức là phân tích các yếu tố đảm bảo cho an toàn như các mối nguy cơ đe dọa an toàn, các quy định và chính sách an toàn của tổ chức, kinh nghiệm, kỹ năng và kiến thức. Mục tiêu an toàn bao gồm mục tiêu an toàn cho đối tượng và mục tiêu an toàn cho môi trường. Mục tiêu an toàn cho đối tượng phải có khả năng đối chiếu được với các mối đe dọa an toàn mà có thể đối phó bằng các phương tiện kỹ thuật của đối tượng đánh giá hoặc bằng chính sách an toàn của tổ chức. Mục tiêu an toàn cho môi trường cần đối chiếu được với các mối đe dọa mà các phương tiện kỹ thuật của đối tượng và chính sách an toàn không hoàn toàn có khả năng chống đỡ.

Yêu cầu an toàn là kết quả biến đổi mục tiêu an toàn thành các yêu cầu cụ thể. Các yêu cầu an toàn cũng được xác định riêng cho đối tượng và cho môi trường. CC phân biệt hai loại yêu cầu an toàn: các yêu cầu chức năng và yêu cầu đảm bảo. Yêu cầu chức năng được đặt ra cho những chức năng của sản phẩm, có nhiệm vụ duy trì an toàn CNTT và quyết định sự vận hành an toàn mong muốn của các đối tượng. Ví dụ về yêu cầu chức năng là yêu cầu đối với định danh, xác thực, kiểm toán an toàn và không chối bỏ nguồn gốc. Các yêu cầu đảm bảo lại quy định đối với công nghệ và quá trình thiết kế, chế tạo, khai thác sản phẩm, xác định mức an toàn tối thiểu phù hợp với mục tiêu an toàn đã công bố. Trong đó, mức an toàn của chức năng được chọn theo: tối thiểu, trung bình và cao. Mỗi chức năng đòi hỏi thỏa mãn một mức tối thiểu an toàn tương ứng. Ví dụ, yêu cầu đảm bảo là các đòi hỏi về tính chặt chẽ của quá trình thiết kế hay xác định những điểm yếu tiềm năng trong sản phẩm và phân tích ảnh hưởng của nó đến độ an toàn của sản phẩm. Nếu các yêu cầu chức năng được đặt ra cho các chức năng của sản phẩm thì yêu cầu đảm bảo lại đặt ra cho hoạt động của nhà thiết kế.

Hồ sơ bảo vệ (Protected Profile - PP) 

PP là tài liệu mẫu để xây dựng mục tiêu an toàn ST. Nó giúp nhà phát triển xây dựng hồ sơ cụ thể cho đối tượng cần được đánh giá, giúp người tiêu dùng định hướng vào một nhóm các yêu cầu an toàn và giúp nhà kiểm định dựa vào đó để đánh giá sản phẩm. Nếu mục tiêu an toàn ST được xây dựng cho một đối tượng cụ thể thì PP lại được xây dựng chung cho một loại đối tượng nào đó. PP mô tả các yêu cầu chung cho các TOE, bởi vậy nó thường do một nhóm người tiêu dùng hoặc một nhóm nhà phát triển sản phẩm viết.

PP có cấu trúc gồm 6 phần: Giới thiệu PP, định nghĩa vấn đề an toàn và đưa ra các mối đe dọa phải đối mặt, Mục tiêu an toàn, định nghĩa các thành phần mở rộng tức là các thành phần chưa có trong các phần 2 và 3 của CC; các yêu cầu an toàn cho TOE, cho môi trường TOE.

Cấu trúc “lớp - họ - thành phần”

 Các yêu cầu an toàn được xác định trong tiêu chí chung là sự thể hiện cụ thể tính an toàn của sản phẩm CNTT. Để phân mức an toàn của TOE trong CC, các yêu cầu an toàn được phân cấp nhờ sử dụng cấu trúc “lớp - họ - thành phần”, trong đó cả hai dạng yêu cầu đều được cấu trúc giống nhau.



Lớp được sử dụng để chia nhóm chung nhất các yêu cầu về an toàn, các thành phần của nhóm có định hướng chung nhưng có thể khác nhau về mục tiêu an toàn. Lớp được chia thành hai loại: lớp chức năng và lớp đảm bảo. Lớp chức năng được mô tả trong Phần II của CC gồm 6 phần; Lớp đảm bảo được mô tả trong phần 3 của CC gồm 7 phần.

Họ là phần tử của lớp, là nhóm các yêu cầu an toàn có cùng mục tiêu an toàn nào đó nhưng khác nhau về tầm quan trọng và tính chặt chẽ.

Thành phần là tập hợp nhỏ nhất các yêu cầu an toàn. Các thành phần an toàn thuộc họ có thể được sắp xếp theo thứ tự tăng dần để biểu thị tầm quan trọng và tính chặt chẽ có cùng mục tiêu, họ cũng có thể tổ chức dưới dạng tập hợp có thứ tự từng phần. Ví dụ FIA_UAU.5 là thành phần biểu thị các điều kiện để xác thực lại người dùng.

Để đánh giá một sảm phẩm CNTT, đi kèm với bộ tiêu chuẩn ISO/IEC 15408 là bộ tiêu chuẩn TSO/IEC 18045 vì ISO/IEC 15408 chỉ đưa ra các tiêu chí đánh giá an toàn công nghệ thông tin chung còn ISO/IEC 18045 đưa ra hệ thống phương pháp đánh giá an toàn công nghệ thông tin cho các tiêu chí về an toàn quy định trong ISO/IEC 15408.




    1. tải về 459.59 Kb.

      Chia sẻ với bạn bè của bạn:
1   2   3   4




Cơ sở dữ liệu được bảo vệ bởi bản quyền ©tieuluan.info 2022
được sử dụng cho việc quản lý

    Quê hương