BỘ THÔNG TIN VÀ TRUYỀN THÔNGTRUNG TÂM ỨNG CỨU KHÂN CẤP MÁY TÍNH VIỆT NAM

THUYẾT MINH DỰ THẢO TIÊU CHUẨN QUỐC GIA

TCVN xxx:2010

CÔNG NGHỆ THÔNG TIN – CÁC KỸ THUẬT AN TOÀN – CÁC TIÊU CHÍ ĐÁNH GIÁ AN TOÀN CNTT –

PHẦN 3: CÁC YÊU CẦU ĐẢM BẢO AN TOÀN

Information Technology – Security Techniques – Evaluation Criteria for IT Security – Part 3: Security Assurance requirements

HÀ NỘI - 2010

MỤC LỤC

1 TỔNG QUAN VỀ NHU CẦU ĐÁNH GIÁ AN TOÀN THÔNG TIN......................3

1.1 Khái niệm về an toàn thông tin.......................................................................................3

1.2 Khái niệm vê đảm bảo an toàn thông tin.........................................................................3

1.3 Khái niệm vê đánh giá an toàn thông tin.........................................................................4

1.4 Những đặc tính cơ bản của thông tin cần được đảm bảo................................................4

1.5 Mô hình tổng quát về các biện pháp đảm bảo an toàn thông tin.....................................5

1.6 Nhu cầu về đánh giá an toàn thông tin và các tiêu chí đánh giá chung...........................6

2 KHÁI QUÁT VỀ TÌNH HÌNH TRONG NƯỚC, NGOÀI NƯỚC.......................6

2.1 Tình hình ngoài nước......................................................................................................6

2.2 Tình hình trong nước.......................................................................................................8

3 GIỚI THIỆU TỔNG QUAN VỀ BỘ TIÊU CHUẨN ISO/IEC 15408.................9

3.1 Tổng quan về bộ tiêu chuẩn ISO/IEC 15408..................................................................9

3.2 Các phiên bản của bộ tiêu chuẩn ISO/IEC 15408...........................................................9

3.3 Các tập của bộ tiêu chuẩn ISO/IEC 15408....................................................................10

3.4 Đối tượng sử dụng.........................................................................................................10

4 GIỚI THIỆU VỀ TIÊU CHUẨN VIỆN DẪN ISO/IEC 15408-3........................11

4.1 Mục tiêu của tiêu chuẩn................................................................................................11

4.2 Nội dung tiêu chuẩn......................................................................................................11

4.2.1 Mô hình các yêu cầu đảm bảo................................................................................11

4.2.2 Các thành phần đảm bảo an toàn...........................................................................11

4.2.3 Mô tả các lớp đảm bảo an toàn..............................................................................13

4.3 Cấu trúc tiêu chuẩn........................................................................................................14

4.4 So sánh phiên bản 2005 và phiên bản 2008..................................................................15

5 DỰ THẢO TIÊU CHUẨN QUỐC GIA TCVN 15408-3...................................15

5.1 Lý do xây dựng tiêu chuẩn............................................................................................15

5.2 Nhu cầu thực tế và khả năng áp dụng...........................................................................16

5.3 Mục đích xây dựng tiêu chuẩn......................................................................................16

1

5.4 Sở cứ xây dựng tiêu chuẩn............................................................................................16

5.5 Phương pháp xây dựng tiêu chuẩn................................................................................16

5.6 Tên tiêu chuẩn...............................................................................................................17

5.7 Các nội dung dự thảo tiêu chuẩn quốc gia....................................................................17

6 Kết luận và kiến nghị..............................................................................................19

7 Tài liệu tham khảo.....................................................................................................19

2

1 TỔNG QUAN VỀ NHU CẦU ĐÁNH GIÁ AN TOÀN THÔNG TIN1.1 Khái niệm về an toàn thông tin

Thông tin được lưu trữ bởi các sản phẩm và hệ thống CNTT là một tài nguyên quan trọng cho sự thành công của tổ chức đó, là tài sản của một cá nhân hay tổ chức. Các thông tin cá nhân lưu trữ trong hệ thống thông tin cần được giữ bí mật, bảo vệ và không bị thay đổi khi không được phép. Trong khi các sản phẩm và hệ thống CNTT thực hiện các đảm bảo của chúng, các thông tin cần được kiểm soát để đảm bảo chúng được bảo vệ chống lại các nguy cơ, ví dụ như việc phổ biến và thay đổi thông tin không mong muốn và trái phép, nguy cơ mất mát thông tin.

An toàn thông tin là an toàn kỹ thuật cho các hoạt động của các cơ sở hạ tầng thông tin, trong đó bao gồm an toàn phần cứng và phần mềm theo các tiêu chuẩn kỹ thuật do nhà nước ban hành; duy trì các tính chất bí mật, toàn vẹn, chính xác, sẵn sàng phục vụ của thông tin trong lưu trữ, xử lý và truyền tải trên mạng (theo định nghĩa trong Nghị định 64-2007/NĐ-CP).

Thuật ngữ an toàn CNTT thường sử dụng để chỉ việc ngăn chặn và làm giảm nhẹ các mối nguy hại tương tự đối với các sản phẩm và hệ thống CNTT.

1.2 Khái niệm vê đảm bảo an toàn thông tin

Mục tiêu hướng tới của người dùng là bảo vệ các tài sản nói trên. Tuy nhiên, các sản phẩm và hệ thống thường luôn tồn tại những điểm yếu dẫn đến những rủi ro có thể xảy ra, làm tổn hại đến giá trị tài sản thông tin. Các đối tượng tấn công (tin tặc) có chủ tâm đánh cắp, lợi dụng hoặc phá hoại tài sản của các chủ sở hữu, tìm cách khai thác các điểm yếu để tấn công, tạo ra các nguy cơ và các rủi ro cho các hệ thống.

Với các biện pháp an toàn thông tin người dùng có được công cụ trong tay để nhận thức được các điểm yếu, giảm thiểu các điểm yếu, ngăn chặn các nguy cơ tấn công, làm giảm các yếu tố rủi ro. Như vậy, các biện pháp và kỹ thuật đảm bảo an toàn thông tin chính là mang lại sự tin cậy cho các sản phẩm và hệ thống.

Đảm bảo an toàn thông tin là đảm bảo an toàn kỹ thuật cho hoạt động của các cơ sở hạ tầng thông tin, trong đó bao gồm đảm bảo an toàn cho cả phần cứng và phần mềm hoạt động theo các tiêu chuẩn kỹ thuật do nhà nước ban hành; ngăn ngừa khả năng lợi dụng mạng và các cơ sở hạ tầng thông tin để thực hiện các hành vi trái phép gây hại cho cộng đồng, phạm pháp hay khủng bố; đảm bảo các tính chất bí mật, toàn vẹn, chính xác, sẵn sàng phục vụ của thông tin trong lưu trữ, xử lý và truyền tải trên mạng.

Như vậy khái niệm đảm bảo an toàn thông tin bao hàm đảm bảo an toàn cho cả phần cứng và phần mềm. An toàn phần cứng là bảo đảm hoạt động cho cơ sở hạ tầng thông tin. An toàn phần mềm gồm các hoạt động quản lý, kỹ thuật nhằm bảo vệ hệ thống thông tin, đảm bảo đảm cho các hệ thống thực hiện đúng đảm bảo, phục vụ đúng đối tượng một cách sẵn sàng, chính xác, tin cậy. An toàn công nghệ thông tin là đảm bảo an toàn kỹ thuật cho các sản phẩm, dịch vụ và hệ thống công nghệ thông tin.

3

1.3 Khái niệm vê đánh giá an toàn thông tin

Một nhu cầu thực tế đặt ra là làm thế nào để biết các sản phẩm và hệ thống có tin cậy hay không, có áp dụng các biện pháp và kỹ thuật an toàn phù hợp hay không, mức độ an toàn như thế nào? Đánh giá an toàn thông tin chính là để đáp ứng nhu cầu đó, nhằm cung cấp bằng chứng về việc đảm bảo an toàn cho các sản phẩm và hệ thống.

Mặt khác, nhiều người tiêu dùng CNTT không có đủ kiến thức, chuyên môn và tài nguyên cần thiết để phán xét về sự an toàn của các sản phẩm và hệ thống CNTT có phù hợp hay không, và cũng không thể chỉ dựa vào cam kết của các nhà phát triển. Bởi vậy, người tiêu dùng có thể nâng cao tin cậy trong các biện pháp an toàn của một sản phẩm hoặc hệ thống CNTT bằng cách đặt hàng phân tích về an toàn cho chúng, nghĩa là đánh giá an toàn.

1.4 Những đặc tính cơ bản của thông tin cần được đảm bảo

An toàn thông tin yêu cầu nhằm đảm bảo 3 đặc điểm quan trọng nhất của thông tin, đó là: tính bí mật, tính toàn vẹn và tính sẵn sàng. Các đặc điểm này bao trùm toàn bộ phạm trù an toàn các hệ thông thông tin. Các đặc điểm này cũng đúng với mọi tổ chức, không lệ thuộc vào việc chúng chia sẻ thông tin như thế nào.

Tính bí mật Tính bí mật là tâm điểm chính của mọi giải pháp an toàn cho một sản phẩm/hệ thống

CNTT. Một giải pháp an toàn là tập hợp các quy tắc xác định quyền được truy cập đến với thông tin đang tìm kiếm, đối với một số lượng người sử dụng thông tin nhất định và một số lượng thông tin là tài sản nhất định. Trong trường hợp kiểm soát truy cập cục bộ, nhóm người truy cập sẽ được kiểm soát xem là họ đã truy cập những số liệu nào. Tính bí mật là sự đảm bảo rằng các đảm bảo kiểm soát truy cập có hiệu lực.

Đảm bảo tính bí mật là nhằm loại bỏ những sự truy cập không đựợc phép vào các khu vực là độc quyền của các cá nhân, tổ chức.

Tính toàn vẹn Tính toàn vẹn, không bị sửa đổi là đặc tính phức hợp nhất và dễ bị hiểu lầm của thông

tin. Một định nghĩa khái quát hơn được sử dung ở trong tài liệu này là vấn đề cấp độ là chất lượng của số liệu (thông tin), chứ không phải là con người được/ hoặc không được phép truy cập. Đặc tính toàn vẹn được hiểu là chất lượng của thông tin được xác định căn cứ vào độ xác thực khi phản ánh thực tế. Số liệu càng gần với thực tế bao nhiêu thì chất lượng thông tin càng chuẩn bấy nhiêu.

Để đảm bảo tính toàn vẹn của thông tin là môt loạt các các biện pháp đồng bộ nhằm hỗ trợ và đảm bảo tính thời sự kịp thời và sự đầy đủ trọn vẹn, cũng như sự bảo mật hợp lý cho thông tin.

Tính sẵn sàng Tính sẵn sàng của thông tin cũng là một đặc tính quan trọng, không khác gì các đặc tính

đã đề cập đến ở. Đó là khía cạnh sống còn của an toàn thông tin, đảm bảo cho thông tin đến đúng địa chỉ (người được phép sử dụng) khi có nhu cầu, hoặc được yêu cầu.

4

Tính sẵn sàng đảm bảo độ ổn định đáng tin cậy của thông tin, cũng như đảm nhiệm đảm bảo là thước đo, xác định phạm vi tới hạn của an toàn một hệ thống thông tin.

1.5 Mô hình tổng quát về các biện pháp đảm bảo an toàn thông tin

Bộ ba các đặc tính then chốt của thông tin đề cập đến ở trên bao trùm toàn bộ các mặt của việc đảm bảo an toàn thông tin. Một ma trận được tạo nên bởi 3 yếu tố là 3 trạng thái của thông tin (truyền dẫn, lưu giữ, xử lí) được minh họa ở trục hoành; cùng với 3 đăc tính then chốt của thông tin (độ tin cậy, tính toàn vẹn, tính sẵn sàng) được minh họa trên trục tung có thể được sử dụng làm nền tảng cho mô hình thể hiện các biện pháp an toàn thông tin được trình bày trong phạm vi tài liệu này (xem hình 1).

Hình 1 – Cơ sở cho một mô hình tổng quátCác biện pháp an toàn hệ thông thông tin được phân loại thành 3 lớp như sau, tạo thành

chiều thứ 3 của không gian ma trận:

Các biện pháp công nghệ: bao hàm tất cả các biện pháp thiết bị phần cứng, các phần mềm, phần sụn (firmware) cũng như các kỹ thuật công nghệ liên quan được áp dụng nhằm đảm các yêu cầu an toàn của thông tin trong các trạng thái của nó như đã kể trên.

Các biện pháp về tổ chức: đưa ra các chính sách, quy định, phương thức thực thi. Thực tế cho thấy, an toàn thông tin không chỉ đơn thuần là vấn đề thuộc phạm trù công nghệ, kỹ thuật. Hệ thống chính sách và kiến trúc tổ chức đóng một vai trò hữu hiệu trong việc đảm bảo an toàn thông tin.

Các biện pháp về đào tạo, tập huấn, nâng cao nhận thức: Các biện pháp công nghệ hay các biện pháp về tổ chức thích hợp phải dựa trên các biện pháp đào tạo, tập huấn và tăng cường nhận thức để có thể triển khai đảm bảo an toàn thông tin từ nhiều hướng khác nhau. Các nhà nghiên cứu và các kỹ sư cũng cần phải hiểu rõ các nguyên lý an toàn hệ thống thông tin, thì mới mong các sản phẩm và hệ thống do họ làm ra đáp ứng được các nhu cầu về an toàn thông tin của cuộc sống hiện tại đặt ra.

Mô hình ma trận không gian 3 chiều kể trên có thể áp dụng làm cơ sở cho đánh giá an toàn thông tin một cách khái quát nhất. Ví dụ, người đánh giá an toàn thông tin cho một sản phẩm là một hệ thống thông tin sẽ phải xác định các trạng thái thông tin trong hệ thống cần được đánh giá. Mô hình tổng quát này sẽ cho phép xác định các trạng thái thông tin không bị lên thuộc vào bất kỳ công nghệ cụ thể nào đang được áp dụng.

5

1.6 Nhu cầu về đánh giá an toàn thông tin và các tiêu chí đánh giá chung

Đánh giá an toàn thông tin là một nhu cầu thực tế, giúp người dùng xác định xem sản phẩm hoặc hệ thống CNTT có đủ an toàn và tin cậy chưa khi đưa vào sử dụng, các rủi ro an toàn tiềm ẩn khi sử dụng có chấp nhận được hay không, hoặc các sản phẩm và hệ thống có áp dụng các biện pháp và kỹ thuật an toàn phù hợp hay không, mức độ an toàn như thế nào. Ngoài ra, việc đánh giá an toàn thông tin còn giúp các doanh nghiệp trong việc phát triển các sản phẩm và hệ thống CNTT đảm bảo các yêu cầu về an toàn thông tin.

Thực tế cho thấy, một mô hình tổng thể cho đánh giá an toàn thông tin hết sức cần thiết. Mô hình này không những đáp ứng nhu cầu đảm bảo an toàn các hệ thống thông tin, mà đồng thời còn là một phương tiện hữu hiệu để khảo sát qui hoạch, phát triển hệ thống và đánh giá kết quả.

Mô hình tổng thể cần có khả năng vận hành không phụ thuộc vào tình trạng phát triển của công nghệ. Các phương pháp nêu ra trong mô hình phải là cơ sở chung cho mọi đối tượng và không bị hạn chế bởi những khác biệt về mô hình tổ chức. Ngay cả khi chúng ta chỉ đề cập đến những khía cạnh ít liên quan đến kỹ thuật của an toàn cho các hệ thống thông tin, như là các vấn đề về chính sách, mô hình tổ chức, và nhân sự liên quan đến an toàn,… mô hình tổng thể cũng hữu ích cho việc đánh giá an toàn thông tin về những khía cạnh này.

Để đạt được sự so sánh hiệu quả giữa các kết quả đánh giá, các đánh giá cần được thực hiện theo một khung của mô hình chính thức trong đó các tiêu chí đánh giá chung (Common Criteria), các thành phần giám sát chất lượng của quá trình đánh giá và các tổ chức có thẩm quyền đánh giá tương thích với nhau trong cùng một ngữ cảnh đánh giá.

Sử dụng phương pháp đánh giá chung làm tăng thêm tính chính xác và khách quan của kết quả đánh giá, song chỉ sử dụng phương pháp đánh giá chung vẫn chưa đủ. Cần có những tiêu chí đánh giá chung và lược đồ đánh giá. Nhiều tiêu chí đánh giá đòi hỏi có các kinh nghiệm chuyên gia và kiến thức cơ bản, nhằm đạt được sự nhất quán và khách quan trong các kết quả đánh giá.

Để tăng cường sự nhất quán và khách quan cho các kết quả đánh giá, cần có một quy trình công nhận/phê chuẩn. Quy trình này xem xét kỹ càng một cách độc lập các kết quả đánh giá để đưa ra chứng nhận/ phê chuẩn về mức độ an toàn cho các sản phẩm/ hệ thống CNTT khi vào sử dụng.

2 KHÁI QUÁT VỀ TÌNH HÌNH TRONG NƯỚC, NGOÀI NƯỚC2.1 Tình hình ngoài nước

Vấn đề an toàn thông tin đang ngày càng cấp bách trên thế giới. Hàng loạt các sự cố về mạng, các vấn nạn trong các lĩnh vực ngân hàng, tài chính, thương mại… liên quan đến an toàn thông tin. Do vậy, việc đánh giá an toàn thông tin cho các sản phẩm và hệ thống, việc đưa ra các tiêu chí chung cho hệ thống đánh giá đã được các tổ chức tiêu chuẩn thế giới quan tâm. Tổ chức tiêu chuẩn quốc tế ISO đã ban hành bộ tiêu chuẩn ISO/IEC 15408 để phục vụ cho mục đích này.

6

Bộ tiêu chuẩn ISO/IEC 15408 gồm 3 tập bắt đầu được ban hành từ năm 1999, phiên bản thứ 2 được ban hành năm 2005 thay thế toàn bộ phiên bản đầu. Phiên bản thứ 3 được ban hành trong năm 2008 và 2009. Chính sự phát triển công nghệ, dịch vụ cũng như việc tăng khả năng triển khai áp dụng tiêu chuẩn vào thực tiến đã dẫn đến các cập nhật, sửa đổi, bổ sung trên của bộ tiêu chuẩn. Song song với việc ban hành bộ tiêu chuẩn ISO/IEC 15408, tổ chức ISO cũng đã ban hành tiêu chuẩn ISO/IEC 18045 về hệ thống các phương pháp đánh giá an toàn thông tin nhằm hỗ trợ việc triển khai ISO/IEC 15408.

Hình 2 mô tả quá trình hình thành và phát triển của bộ tiêu chuẩn ISO/IEC trên thế giới.

Hình 2 – Quá trình hình thành và phát triển của ISO/IEC 15408

Các tiêu chuẩn đánh giá an toàn thông tin rất đa dạng do tính đa dạng của các sản phẩm và các hệ thống CNTT. Các nước phát triển đều xây dựng các tiêu chuẩn riêng ứng với các sản phẩm và hệ thống CNTT của mình. Tuy nhiên, các tiêu chuẩn đánh giá cụ thể cho từng sản phẩm và hệ thống CNTT đều dựa trên các tiêu chí chung của tiêu chuẩn ISO/IEC 15408. Đây được xem là bộ các tiêu chí chung nhất để đánh giá các sản phẩm, thiết bị và hệ thống công nghệ thông tin.

Hình 3 – Quá trình hình thành cộng đồng CC (Common Criteria)

7

Phụ lục 1 liệt kê danh sách 50 tổ chức/phòng kiểm định an toàn thông tin có tiếng nhất ở 12 quốc gia trên thế giới. Đây là danh sách các tổ chức áp dụng bộ tiêu chí chung cho đánh giá an toàn thông tin theo bộ tiêu chuẩn ISO/IEC 15408.

Trong hình sau đây là ví dụ về một báo cáo công nhận tuân thủ theo các tiêu chí chung trong chuẩn ISO/IEC 15408 cho một thiết bị Server.

Hình 4 – Ví dụ về một báo cáo công nhân tuân thủ

Hình 5 – Ví dụ về các sản phẩm đã được đánh giá và xác nhận

2.2 Tình hình trong nước

Đảm bảo an toàn an toàn thông tin là một nhu cầu thiết thực để thúc đẩy và phát triển Công nghệ Thông tin (CNTT). Tiêu chuẩn về an toàn thông tin cho các thiết bị và hệ thống trong lĩnh vực công nghệ thông tin vẫn còn thiếu nhiều. Tổ chức ISO thế giới có trên 100 chuẩn về an toàn thông tin, trong khi số tiêu chuẩn của Việt Nam ban hành còn rất ít. Việc thiếu các tiêu chuẩn này dẫn đến việc người sử dụng, nhà phát triển và các tổ chức kiểm định không có cơ sở để thực hiện đánh giá về độ an toàn của sản phẩm và hệ thống công nghệ thông tin. Trước tình hình này, việc xây dựng các tiêu chí thống nhất để đánh giá an toàn cho các sản phẩm và hệ thống công nghệ thông tin là rất cần thiết.

8

Hiện tại Việt Nam chưa có một tiêu chuẩn nào về việc thực hiện đánh giá an toàn cho các sản phẩm và hệ thống công nghệ thông tin. Tiêu chuẩn này sẽ giúp các cơ quan chính phủ, các doanh nghiệp và đặc biệt là các tổ chức đánh giá (ví dụ các phòng đo kiểm quốc gia) có thể dựa vào đó thực hiện các đánh giá an toàn trên các hệ thống. Nó cũng là một hướng dẫn giúp cho các doanh nghiệp trong việc phát triển các sản phẩm và hệ thống công nghệ thông tin đảm bảo các yêu cầu về an toàn thông tin.

3 GIỚI THIỆU TỔNG QUAN VỀ BỘ TIÊU CHUẨN ISO/IEC 154083.1 Tổng quan về bộ tiêu chuẩn ISO/IEC 15408

Bộ tiêu chuẩn ISO/IEC 15408 có tên là “Công nghệ thông tin – Các kỹ thuật an toàn – Các tiêu chí đánh giá an toàn CNTT” với ba tập như sẽ trình bày trong mục 3.3 dưới đây. ISO/IEC 15408 được biên soạn bởi Ủy ban kỹ thuật liên hợp ISO/IEC JTC 1 về công nghệ thông tin (Joint Technical Committee ISO/IEC JTC) và Tiểu ban SC 27 về các kỹ thuật an toàn CNTT (Information Technology Subcommittee SC 27, IT security techniques). Tài liệu chuẩn ISO/IEC 15408 được xuất bản bởi các tổ chức tài trợ dự án về các tiêu chuẩn chung dưới tiêu đề “Các tiêu chí chung cho đánh giá an toàn CNTT”.

Tiêu chuẩn ISO/IEC 15408 cho phép thực hiện so sánh các kết quả đánh giá an toàn độc lập. Tiêu chuẩn cung cấp một tập các yêu cầu đối với đảm bảo an toàn của các sản phẩm và hệ thống CNTT, và về các biện pháp đảm bảo áp dụng các yêu cầu trong quá trình đánh giá an toàn. Tiêu chuẩn cung cấp các tiêu chí tổng quát để đánh giá an toàn cho các sản phẩm và hệ thống CNTT. Các kết quả đánh giá có thể giúp người dùng xác định xem sản phẩm hoặc hệ thống CNTT có đủ an toàn chưa khi đưa vào sử dụng, và các rủi ro an toàn tiềm ẩn khi sử dụng có chấp nhận được hay không.

Bộ tiêu chuẩn ISO/IEC 15408 được xây dựng nhằm đáp ứng một nhu cầu thiết thực của thực tiễn là làm cơ sở cho thực hiện đánh giá năng lực đảm bảo an toàn thông tin cho các sản phẩm và hệ thống CNTT, và giúp các doanh nghiệp trong việc phát triển các sản phẩm và hệ thống CNTT đảm bảo các yêu cầu về an toàn thông tin. Để đạt được sự so sánh hiệu quả giữa các kết quả đánh giá, các đánh giá cần được thực hiện theo một khung của mô hình chính thức trong đó có các tiêu chí đánh giá chung. Điều này làm tăng thêm tính chính xác, nhất quán và khách quan của kết quả đánh giá.

3.2 Các phiên bản của bộ tiêu chuẩn ISO/IEC 15408

Sự hình thành và phát triển của bộ tiêu chuẩn ISO/IEC 15408 đã được mô tả trên hình 2.

Phiên bản thứ nhất được biên soạn năm 1999 có tên là ISO/IEC 15408: 1999. Phiên bản thứ hai ISO/IEC 15408:2005 được biên soạn năm 2005, có sửa đổi nhiều về mặt nội dung kỹ thuật và thay thế hoàn toàn phiên bản thứ nhất. Cuối năm 2008 và cuối năm 2009, ISO/IEC đã rà soát lại các tập của bộ tiêu chuẩn này và lần lượt ban hành các tập của bộ tiêu chuẩn quốc tế ISO/IEC 15408 phiên bản thứ 3 thay thế cho phiên bản thứ 2 ban hành năm 2005. So với phiên bản 2005, phiên bản thứ 3 đã có thay đổi nhiều về cấu trúc và nội dung.

9

3.3 Các tập của bộ tiêu chuẩn ISO/IEC 15408

Bộ tiêu chuẩn ISO/IEC 15408 bao gồm ba thành phần sau, dưới tiêu đề chung là: CNTT – Các kỹ thuật an toàn – Các tiêu chuẩn cho đánh giá an toàn CNTT:

Phần 1: Giới thiệu và mô hình tổng thể (Part 1: Introduction and general model )

Phần 2: Các yêu cầu về đảm bảo an toàn (Part 2: Security functional requirements )

Phần 3: Các yêu cầu đảm bảo an toàn (Part 3: Security assurance requirements )

ISO/IEC 15408 được trình bày dưới dạng một tập hợp của ba phần riêng biệt song có liên quan mật thiết nhau, nhằm đưa ra bộ khung đánh giá chung và các tiêu chí đánh giá chung nhất cho đánh giá an toàn thông tin.

Phần 1 (ISO/IEC 15408–1) là phần giới thiệu và trình bày về mô hình tổng quát. Trong phần này có định nghĩa các khái niệm và nguyên tắc chung cho đánh giá an toàn CNTT, trình bày một mô hình tổng quát cho đánh giá, các cấu trúc biểu thị các mục tiêu an toàn CNTT, các cấu trúc lựa chọn và xác định các yêu cầu an toàn CNTT. Nội dung phần 1 đưa ra các thông tin cơ sở và mô hình tham chiếu khi đánh giá; hướng dẫn lập các đặc tả mức cao cho các sản phẩm và hệ thống; cấu trúc các hồ sơ bảo vệ và các tập đích an toàn, xây dựng các yêu cầu và các đặc tính an toàn cho các sản phẩm và hệ thống CNTT.

Phần 2 (ISO/IEC 15408-2) hướng dẫn lập báo cáo các yêu cầu đảm bảo an toàn cho các sản phẩm và hệ thống CNTT. Các yêu cầu đảm bảo an toàn được chuẩn hóa chung cho các sản phẩm và hệ thống CNTT và được biểu diễn trong một tập hợp các thành phần đảm bảo, các họ và các lớp. Phần 2 được dùng làm tham chiếu cho các tiêu chí đánh giá bắt buộc trong báo cáo về yêu cầu đảm bảo an toàn, để xác định xem một sản phẩm hay hệ thống CNTT có thỏa mãn các tiêu chí đánh giá đã nêu, các đảm bảo an toàn đã yêu cầu hay không.

Phần 3 (ISO/IEC 15408-3 hướng dẫn lập báo cáo cấp độ các yêu cầu đảm bảo an toàn cho các sản phẩm và hệ thống CNTT. Các tiêu chí đảm bảo an toàn được chuẩn hóa chung cho các sản phẩm và hệ thống CNTT và được biểu diễn dưới dạng một tập hợp các thành phần, các họ và các lớp trong một hồ sơ bảo vệ hoặc một tập đích an toàn. Phần 3 được dùng làm tham chiếu cho các tiêu chí đánh giá bắt buộc trong báo cáo về yêu cầu đảm bảo an toàn, để đánh giá cho các hồ sơ bảo vệ và các tập đích an toàn, xác định cấp độ đảm bảo an toàn cho một sản phẩm hay hệ thống CNTT trên cơ sở mức độ thỏa mãn các tiêu chí đánh giá đã nêu.

Như vậy, trong 3 phần của bộ tiêu chuẩn, phần 1 là phần tổng quan, trình bày mô hình tổng quát cho đánh giá an toàn thông tin; phần 2 và phần 3 là chi tiết các tiêu chí chung về đảm bảo an toàn và yêu cầu đảm bảo chung cho các sản phẩm và hệ thống CNTT.

3.4 Đối tượng sử dụng

Ba nhóm khách hàng mong muốn đánh giá các thuộc tính an toàn của các sản phẩm và hệ thống CNTT là: người tiêu dùng, các nhà phát triển và người đánh giá. Tiêu chuẩn được trình bầy trong tài liệu này đã được cấu trúc hóa để đáp ứng yêu cầu của ba nhóm trên.

10

4 GIỚI THIỆU VỀ TIÊU CHUẨN VIỆN DẪN ISO/IEC 15408-3

Tháng 8/2008, ISO/IEC ban hành ra tiêu chuẩn quốc tế ISO/IEC 15408 – 3: 2008 thay thế cho ISO/IEC 15408 – 3: 2005. So với phiên bản 2005, phiên bản 2008 đã có một số thay đổi về nội dung và bố cục các điều khoản, song cấu trúc chung và các thuật ngữ của tiêu chuẩn không thay đổi. Tiêu chuẩn ISO/IEC 15408 – 3 có tên là “Công nghệ thông tin – Các kỹ thuật an toàn – Các tiêu chí đánh giá an toàn CNTT – Phần 3: Các yêu cầu đảm bảo an toàn”.

ISO/IEC 15408-3 được biên soạn bởi Ủy ban kỹ thuật liên hợp ISO/IEC JTC 1 về công nghệ thông tin (Joint Technical Committee ISO/IEC JTC) và Tiểu ban SC 27 về các kỹ thuật an toàn CNTT (Information Technology Subcommittee SC 27, IT security techniques).

4.1 Mục tiêu của tiêu chuẩn

ISO/IEC 15408 cung cấp một tập các yêu cầu đảm bảo an toàn dễ hiểu, có thể được sử dụng để tạo ra các hệ thống và sản phẩm tin cậy phản ánh sự cần thiết của thị trường. Các yêu cầu đảm bảo an toàn này biểu diễn trình độ hiện tại về đánh giá và đặc tả các yêu cầu này.

Phần này không phải bao gồm tất cả các yêu cầu đảm bảo an toàn thông tin có thể mà nó chỉ gồm các phần được biết đến và chấp nhận bởi các tác giả biên soạn tiêu chuẩn tại thời điểm phát hành.

Bởi vì hiểu biết và nhu cầu của người tiêu dùng có thể thay đổi, các yêu cầu đảm bảo trong phần này của ISO/IEC 15408 cần phải được cập nhật thường xuyên. Điều này có thể hiểu là một số tác giả PP/ST có thể thấy các thành phần yêu cầu đảm bảo trong phần này của ISO/IEC 15408 (hiện tại) không bao hàm hết nhu cầu về an toàn.

4.2 Nội dung tiêu chuẩn

1.1.1 Mô hình các yêu cầu đảm bảo an toàn

ISO/IEC 15408-3 mô tả mô hình sử dụng trong các yêu cầu đảm bảo an toàn của ISO/IEC 15408. ISO/IEC 15408-3 chứa danh mục các yêu cầu đảm bảo an toàn có thể được chỉ rõ cho một đích đánh giá (TOE).

Đánh giá TOE chủ yếu liên quan tới việc đảm bảo rằng một tập các yêu cầu đảm bảo an toàn (SFRs) xác định được thực thi trên các tài nguyên TOE. Các SFRs định nghĩa các luật mà TOE kiểm soát truy cập tài nguyên của nó cũng như các thông tin và dịch vụ được điều khiển bởi TOE.

Mỗi SFP có một phạm vi kiểm soát, mà định nghĩa các chủ thể, mục tiêu và các hoạt động được kiểm soát dưới SFP. Tất cả các SFP được thực hiện bởi TSF (TOE Security Function), các cơ chế của chúng thực thi các quy tắc định nghĩa trong các SFRs.

1.1.2 Các thành phần đảm bảo an toàn

Các yêu cầu đảm bảo được biểu diễn theo các lớp, họ và thành phần.

11

Mỗi lớp đảm bảo có một tên duy nhất cung cấp các thông tin cần thiết để chỉ ra và phân nhóm một lớp đảm bảo.

Hình 1 - Cấu trúc lớp đảm bảo

Mỗi họ đảm bảo có một tên duy nhất quy định sự phân loại và thông tin mô tả để chỉ ra và phân nhóm một họ đảm bảo. Hoạt động của họ là mô tả chi tiết các họ đảm bảo thực hiện các mục tiêu an toàn của nó và mô tả chung về các yêu cầu đảm bảo. Các họ đảm bảo chứa một hoặc nhiều thành phần, bất kỳ cái nào có thể được lựa chọn cho bao gồm trong PPs, ST và các gói đảm bảo.

Hình 2 - Cấu trúc họ đảm bảo

Thành phần quy định các thông tin mô tả cần thiết để định danh, phân nhóm, đăng ký và tham chiếu chéo cho một thành phần.

Hình 3 - Cấu trúc thành phần đảm bảo

12

Tập các phần tử đảm bảo được cung cấp cho mỗi thành phần. Một phần tử đảm bảo là một yêu cầu đảm bảo an toàn mà nếu phân chia nhỏ hơn thì kết quả đánh giá sẽ không có đầy đủ ý nghĩa. Nó là các yêu cầu đảm bảo an toàn nhỏ nhất được xác định và nhận biết trong ISO 15408/IEC 15408.

1.1.3 Mô tả các lớp đảm bảo an toàn

Các lớp đảm bảo an toàn, cụ thể như sau:

Lớp đảm bảo Họ đảm bảo Tên viết tắt

Quản lý cấu hình:

ACM

Tự động quản lý cầu hình (CM automation)

(ACM_AUT)

ACM_AUT

Năng lực quản lý cấu hình (CM capabilities)

(ACM_CAP)

ACM_AP

Phạm vi quản lý cấu hình (CM capabilities)

(ACM_SCP)

ACM_SCP

Chuyển tải và khai

thác: ADO

Chuyển tải (ADO_DEL) ADO_DEL

Cài đặt, thiết lập, khởi động (ADO_IGS) ADO_IGS

Phát triển: ADV

Đặc tả chức năng (ADV_FSP) ADV_FSP

Thiết kế mức cao (ADV_HLD) ADV_HLD

Kịch bản thực thi (ADV_IMP) ADV_IMP

Nội bộ TSF (ADV_INT) ADV_INT

Thiết kế mức thấp (ADV_LLD) ADV_LLD

Tương hợp kịch bản (ADV_RCR) ADV_RCR

Mô hình hóa chính sách an toàn (ADV_SPM) ADV_SPM

Tài liệu hướng dẫn:

AGD

Hướng dẫn quản trị (AGD_ADM) AGD_ADM

Hướng dẫn người dùng (AGD_USR) AGD_USR

Hỗ trợ vòng đời:

ALC

An toàn phát triển (ALC_DVS) ALC_DVS

Khắc phục khiếm khuyết (ALC_FLR) ALC_FLR

Định nghĩa vòng đời (ALC_LCD) ALC_LCD

Công cụ và kỹ thuật (ALC_TAT) ALC_TAT

13

Kiểm tra: ATE

Vùng phủ (ATE_COV) ATE_COV

Chiều sâu (ATE_DPT) ATE_DPT

Kiểm tra chức năng (ATE_FUN) ATE_FUN

Kiểm thử độc lập (ATE_IND) ATE_IND

Đánh giá điểm yếu:

AVA

Phân tích kênh che dấu (AVA_CCA) AVA_CCA

Lạm dụng (AVA_MSU) AVA_MSU

Độ chặt chẽ của các chức năng an toàn TOE

(AVA_SOF)

AVA_SOF

Phân tích điểm yếu (AVA_VLA) AVA_VLA

4.3 Cấu trúc tiêu chuẩn

Tiêu chuẩn này gồm 16 điều và 5 phụ lục cụ thể như sau:

Điều 4 mô tả tổng quan về tiêu chuẩn.

Điều 5 mô tả mô hình sử dụng trong các yêu cầu đảm bảo an toàn thông tin của phần này của ISO/IEC 15408.

Điều 6 giới thiệu danh mục các thành phần đảm bảo trong phần này của ISO/IEC 15408, cấu trúc các lớp, họ, thành phần đảm bảo, cấu trúc các cấp đảm bảo đánh giá EAL, cấu trúc các gói đảm bảo CAP.

Điều 7 trình bày 7 cấp đảm bảo đánh giá EAL từ EAL1 đến EAL7 của ISO/IEC 15408.

Điều 8 trình bày chi tiết về các gói đảm bảo tổng hợp (nghĩa là cho trường hợp TOE là một sản phẩm được tổng hợp từ nhiều thực thể CNTT).

Từ điều 9 đến điều 16, tiêu chuẩn trình bày cụ thể về các lớp đảm bảo an toàn của ISO/IEC 15408.

Phụ lục A và B cung cấp thông tin bổ sung chi tiết về các lớp phát triển ADV và lớp tổng hợp ACO.

Phụ lục C đến F cung cấp các giải thích cho người dùng tiềm năng các thành phần đảm bảo bao gồm bảng tham chiếu chéo tổng hợp cho sự phụ thuộc của các thành phần đảm bảo.

Các điều và phụ lục cung cấp các giải thích về các lớp đảm bảo. Tài liệu này được xem như là hướng dẫn quy chuẩn về việc áp dụng các hoạt động phù hợp và lựa chọn quy trình kiểm toán hoặc thông tin dẫn chứng phù hợp. Việc sử dụng các trợ động từ nên hiểu là các chỉ dẫn được ưa chuộng nhất, các cái khác có thể được điều chỉnh phù hợp. Nếu có các tùy chọn khác, việc lựa chọn được dành cho tác giả PP/ST.

14

4.4 So sánh phiên bản 2005 và phiên bản 2008

So với phiên bản 2005, phiên bản 2008 của ISO/IEC 15408 – 3 có nhiều thay đổi đáng kể về nội dung và bố cục. Có thể nói, hầu như phần nào của tiêu chuẩn phiên bản 2005 cũng đã được rà soát lại và sửa đổi, bổ sung, thay thế.

Tuy nhiên, mặc dù thay đổi nhiều, hai phiên bản vẫn giữ được sự tương đồng và nhất quán về kiến trúc và các khái niệm, các lớp đảm bảo an toàn.

So sánh về sự tương đồng của hai phiên bản

- Hai phiên bản vẫn sử dụng các định nghĩa, các khái niệm nhất quán về mô hình các yêu cầu đảm bảo an toàn, các thành phần đảm bảo an toàn, các lớp đảm bảo an toàn và các thành phần liên quan đến lớp.

- Hai phiên bản vẫn sử dụng các kiến trúc nhất quán về bộ khung tiêu chuẩn như: phân cấp các yêu cầu an toàn thành các lớp, họ, thành phần và mối quan hệ giũa chúng.

- Như vậy, bộ khung tiêu chuẩn không thay đổi. Phiên bản mới không có thay đổi về tư tưởng chủ đạo của tiêu chuẩn, các tiêu chí đánh giá, phương thức đánh giá.

So sánh về sự khác biệt của hai phiên bản

Hai phiên bản có những khác biệt đáng kể ở những chỗ sau:

- Phiên bản 2008 trình bày ngắn gọn hơn, rõ ràng hơn, không lặp lại những gì đã nêu trong phần 1 và phần 2 của ISO/IEC 15408.

- Phiên bản 2008 bổ sung thêm nhiều nội dung nhằm làm rõ hơn các chi tiết về các lớp, bổ sung thêm hẳn một số mục trình bày rõ ràng và chi tiết hơn về các cấp đảm bảo đánh giá EAL, các gói đảm bảo đánh giá CAP…

5 DỰ THẢO TIÊU CHUẨN QUỐC GIA TCVN 15408-35.1 Lý do xây dựng tiêu chuẩn

Như đã trình bày ở mục 1 và 2, đánh giá an toàn thông tin là một nhu cầu thực tế, giúp người dùng xác định xem sản phẩm hoặc hệ thống CNTT có đủ an toàn và tin cậy chưa khi đưa vào sử dụng, các rủi ro an toàn tiềm ẩn khi sử dụng có chấp nhận được hay không, hoặc các sản phẩm và hệ thống có áp dụng các biện pháp và kỹ thuật an toàn phù hợp hay không, mức độ an toàn như thế nào. Ngoài ra, việc đánh giá an toàn thông tin còn giúp các doanh nghiệp trong việc phát triển các sản phẩm và hệ thống CNTT đảm bảo các yêu cầu về an toàn thông tin.

Để đánh giá an toàn thông tin cho các sản phẩm và hệ thống, việc đưa ra mô hình tổng thể và các tiêu chí chung cho hệ thống đánh giá là điều hết sức cần thiết, nhằm đạt được sự nhất quán và khách quan trong các kết quả đánh giá.

Một mô hình tổng thể cho đánh giá an toàn thông tin hết sức cần thiết. Mô hình này không những đáp ứng nhu cầu đảm bảo an toàn các hệ thống thông tin, mà đồng thời còn là một phương tiện hữu hiệu để khảo sát qui hoạch, phát triển hệ thống và đánh giá kết quả.

15

Cho đến nay, tiêu chuẩn ISO/IEC 15408 được áp dụng rộng rãi trên thế giới và rất nhiều nước biên dịch và có tiêu chuẩn quốc gia hoàn toàn tương đương với các phiên bản của ISO 15408. Đây được xem là bộ các tiêu chí chung nhất để đánh giá các sản phẩm, thiết bị và hệ thống công nghệ thông tin.

Hiện tại Việt Nam chưa có một tiêu chuẩn nào về việc thực hiện đánh giá an toàn cho các sản phẩm và hệ thống công nghệ thông tin. Tiêu chuẩn này sẽ giúp các cơ quan chính phủ, các doanh nghiệp và đặc biệt là các tổ chức đánh giá (ví dụ các phòng đo kiểm quốc gia) có thể dựa vào đó thực hiện các đánh giá an toàn trên các hệ thống. Nó cũng là một hướng dẫn giúp cho các doanh nghiệp trong việc phát triển các sản phẩm và hệ thống công nghệ thông tin đảm bảo các yêu cầu về an toàn thông tin.

Tháng 1/2010, Thủ tướng chính phủ đã ký quyết định phê duyệt “Quy hoạch phát triển an toàn thông tin số quốc gia đến năm 2020”. Một trong những nhiệm vụ trong Quy hoạch là xây dựng và ban hành hệ thống tiêu chuẩn an toàn thông tin quốc gia làm cơ sở cho việc đảm bảo an toàn thông tin trong giai đoạn 2010-2015, đáp ứng các nhu cầu đảm bảo an toàn thông tin đang hết sức cấp bách trong thực tiễn.

Việc xây dựng tiêu chuẩn này đồng bộ với việc xây dựng tập 1 và tập 2 của tiêu chuẩn 15408.

Đó là những lý do cho việc xây dựng tiêu chuẩn này.

5.2 Nhu cầu thực tế và khả năng áp dụng

Tiêu chuẩn này sẽ giúp các cơ quan chính phủ, các doanh nghiệp và đặc biệt là các tổ chức đánh giá (ví dụ các phòng đo kiểm quốc gia) có thể dựa vào đó thực hiện các đánh giá an toàn cho các sản phẩm và các hệ thống công nghệ thông tin. Nó cũng là một tài liệu hướng dẫn giúp cho các doanh nghiệp trong việc phát triển các sản phẩm và hệ thống công nghệ thông tin đảm bảo các yêu cầu về an toàn thông tin.

5.3 Mục đích xây dựng tiêu chuẩn

Xây dựng tiêu chuẩn nhằm bổ sung thêm tiêu chuẩn vào hệ thống tiêu chuẩn về lĩnh vực an toàn thông tin hiện còn đang thiếu nhiều của Việt Nam, để khuyến nghị áp dụng tại Việt Nam (hiện trên thế giới có khoảng hơn 100 tiêu chuẩn về an toàn thông tin, Việt Nam mới chỉ có 2 tiêu chuẩn được ban hành chính thức là TCVN 7562:2005 và TCVN 27001:2009).

5.4 Sở cứ xây dựng tiêu chuẩn

Tiêu chuẩn này được xây dựng dựa trên tiêu chuẩn ISO/IEC 15408-3:2008. Đây cũng là tài liệu đã được nhiều quốc gia sử dụng làm tài liệu gốc để xây dựng các tiêu chuẩn quốc gia tương đương.

5.5 Phương pháp xây dựng tiêu chuẩn

Tiêu chuẩn ISO/IEC 15408-3: 2008 được tham chiếu làm cơ sở để xây dựng tiêu chuẩn này.

16

Trên cơ sở tham khảo các tiêu chuẩn về an toàn thông tin đã ban hành tại Việt Nam, các phương pháp xây dựng các tiêu chuẩn/ qui chuẩn, phương pháp xây dựng tiêu chuẩn này là chấp thuận nguyên vẹn với một số chỉnh sửa nhỏ như sau:

- Chỉnh sửa theo qui định Tiêu chuẩn Quốc gia

- Bổ sung các thuật ngữ “should”, “shall”, “may”, “can”, “normative”, “informative” để thuận tiện cho người đọc. Đây là những thuật ngữ được sử dụng theo ngôn ngữ tiêu chuẩn (Những thuật ngữ này đã có trong phiên bản 2005).

Các thuật ngữ và định nghĩa ở phần đầu được sử dụng xuyên suốt toàn bộ tiêu chuẩn. Khi dịch tiêu chuẩn cần tham chiếu đến các định nghĩa giải thích ý nghĩa của các từ ngữ tiếng Anh được sử dụng trong ngữ cảnh tiêu chuẩn.

5.6 Tên tiêu chuẩn

Công nghệ thông tin – Các kỹ thuật an toàn – Các tiêu chí đánh giá an toàn CNTT – Phần 3: Các yêu cầu đảm bảo an toàn

Information Technology – Security Techniques – Evaluation Criteria for IT – Part 3: Security Assurance requirements

5.7 Các nội dung dự thảo tiêu chuẩn quốc gia

Dự thảo tiêu chuẩn được xây dựng dựa theo phương pháp chấp thuận nguyên vẹn về nội

dung. Tuy nhiên cấu trúc của tiêu chuẩn sẽ tuân theo cấu trúc được qui định của Tiêu chuẩn Việt

Nam.

Bảng đối chiếu tiêu chuẩn viện dẫn

Dự thảo TCVN “Công nghệ thông tin – Các kỹ thuật an toàn – Các tiêu chí đánh giá an toàn

CNTT – Phần 3: Các yêu cầu đảm bảo an toàn”

ISO/IEC 15408-3: 2008 “Information technology — Security techniques —

Evaluation Criteria for IT – Part 3: Security assurance requirements”

1 Phạm vi áp dụng 1: Scope

2 Các tham chiếu chuẩn hóa 2: Normative references

3 Thuật ngữ và định nghia, các ký hiệu và thuật

ngữ viết tắt

3: Terms and Definitions, symbols and

abbreviated terms

4 Tổng quan 4: Overview

4.1 Tổ chức của tiêu chuẩn 4.1: Organisation of this part of ISO/IEC 15408

5 Mô hình đảm bảo 5: Assurance paradigm

6 Các thành phần đảm bảo an toàn 6: Security assurance components

6.1 – 6.2 6.1 – 6.2

17

Dự thảo TCVN “Công nghệ thông tin – Các kỹ thuật an toàn – Các tiêu chí đánh giá an toàn

CNTT – Phần 3: Các yêu cầu đảm bảo an toàn”

ISO/IEC 15408-3: 2008 “Information technology — Security techniques —

Evaluation Criteria for IT – Part 3: Security assurance requirements”

7 Các cấp đảm bảo đánh giá 7 : Evaluation assurance levels

7.1 – 7.9 7.1 – 7.9

8 Các gói đảm bảo tổng hợp 8: Composed assurance packages

8.1 – 8.5 8.1 – 8.5

10 Lớp ASE: Đánh giá đích an toàn 10: Class ASE: Security Target Evaluation

10.1 - 10.7 10.1 - 10.7

11 Lớp ADV: Phát triển 11: Class ADV: Development

11.1 – 11.6 11.1 – 11.6

12 Lớp AGD: Tài liệu hướng dẫn 12: Class AGD: Guidance documents

12.1 – 12.2 12.1 – 12.2

13 Lớp ALC: Hỗ trợ vòng đời 13: Class ALC: Life-Cycle support

13.1 -13.7 13.1 – 13.7

14 Lớp ATE: Kiểm thử 14: Class ATE: Tests

14.1 - 14.4 14.1 - 14.4

15 Lớp AVA: Đánh giá điểm yếu 15: Class AVA: Vulnerability assessment

15.1 – 15.2 15.1 – 15.2

16 Lớp ACO: Tổng hợp 16: Class ACO: Composition

16.1 – 16.5 16.1 – 16.5

Phụ lục A: Phát triển (ADV) Annex A: Development (ADV)

Phụ lục B: Tổng hợp (ACO) Annex B: Composition (ACO)

Phụ lục C: Tham chiếu chéo cho sự phụ thuộc của

thành phần đảm bảo

Annex C: Cross reference of assurance component dependencies

Phụ lục D: Tham chiếu chéo cho PPs và thành

phần đảm bảo

Annex D: Cross reference of PPs and assurance component

Phụ lục E: Tham chiếu chéo cho EALs và thành Annex E: Cross reference of EALs and

18

Dự thảo TCVN “Công nghệ thông tin – Các kỹ thuật an toàn – Các tiêu chí đánh giá an toàn

CNTT – Phần 3: Các yêu cầu đảm bảo an toàn”

ISO/IEC 15408-3: 2008 “Information technology — Security techniques —

Evaluation Criteria for IT – Part 3: Security assurance requirements”

phần đảm bảo assurance component

Phụ lục F: Tham chiếu chéo cho CAPs và thành

phần đảm bảo

Annex F: Cross reference of CÁP and assurance component

Thư mục tài liệu tham khảo Bibliography

6 Kết luận và kiến nghịĐảm bảo an toàn an toàn thông tin là một nhu cầu thiết thực để thúc đẩy và phát triển

Công nghệ Thông tin (CNTT). Tiêu chuẩn về an toàn thông tin cho các thiết bị và hệ thống trong lĩnh vực công nghệ thông tin ở Việt Nam vẫn còn thiếu nhiều. Trước tình hình đó, việc nghiên cứu xây dựng các tiêu chuẩn thống nhất để đánh giá an toàn cho các sản phẩm và hệ thống công nghệ thông tin là rất cần thiết.

ISO/IEC 15408-3 mô tả mô hình sử dụng trong các yêu cầu đảm bảo an toàn của ISO/IEC 15408. ISO/IEC 15408-3 chứa danh mục các yêu cầu đảm bảo an toàn có thể được chỉ rõ cho một đích đánh giá (TOE). Tiêu chuẩn này cung cấp một tập các yêu cầu đảm bảo an toàn dễ hiểu, có thể được sử dụng để tạo ra các hệ thống và sản phẩm tin cậy phản ánh sự cần thiết của thị trường. Các yêu cầu đảm bảo an toàn này biểu diễn trình độ hiện tại về đánh giá và đặc tả các yêu cầu này.

Tiêu chuẩn này được xây dựng dựa trên bộ tiêu chuẩn ISO/IEC 15408-3, phiên bản thứ ba ban hành tháng 8/2008 (phiên bản mới nhất tới nay). Tiêu chuẩn này được ban hành sẽ giúp các cơ quan chính phủ, các doanh nghiệp có thể dựa vào đó thực hiện các đánh giá an toàn trên các hệ thống của mình. Nó cũng là một trợ giúp đắc lực cho các doanh nghiệp trong việc phát triển các sản phẩm và hệ thống công nghệ thông tin đảm bảo các yêu cầu về an toàn thông tin.

7 Tài liệu tham khảo

[1] ISO/IEC 15408 – 1 : 2005, Information Technology – Security Techniques – Evaluation Criteria for IT Security – Part 1: Introduction and general model.

[2] ISO/IEC 15408 – 2 : 2005, Information Technology – Security Techniques – Evaluation Criteria for IT Security – Part 2: Security functional requirements.

[3] ISO/IEC 15408 – 3 : 2005, Information Technology – Security Techniques – Evaluation Criteria for IT Security – Part 3: Security assurance requirements.

[4] ISO/IEC 15408 – 1 : 2009, Information Technology – Security Techniques – Evaluation Criteria for IT Security – Part 1: Introduction and general model.

19

[5] ISO/IEC 15408 – 2 : 2008, Information Technology – Security Techniques – Evaluation Criteria for IT Security – Part 2: Security functional requirements.

[6] ISO/IEC 15408 – 3 : 2008, Information Technology – Security Techniques – Evaluation Criteria for IT Security – Part 3: Security assurance requirements.

[7] ISO/IEC 27001: 2005, Information technology — Security techniques — Information security management systems — Requirements

[8] ISO/IEC 27002: 2005, Information technology — Security techniques — Code of practice for information security management

[9] TCVN 27001: 2009, Công nghệ thông tin – Các kỹ thuật an toàn – Các hệ thống quản lý an toàn thông tin — Các yêu cầu

20