Ordinul nr. 7/2010
pentru aprobarea Directivei INFOSEC privind Catalogul național cu pachete, produse și profile de protecție INFOSEC-INFOSEC 5
prezumat în vigoare
În temeiul
art. 1 alin. (4) lit. b)
și al
art. 3 alin. (6) din Ordonanța de urgență a Guvernului nr. 153/2002
privind organizarea și funcționarea Oficiului Registrului Național al Informațiilor Secrete de Stat, aprobată prin
Legea nr. 101/2003 , cu modificările și completările ulterioare, și al
art. 55 alin. (1) din Regulamentul
privind procedurile, la nivelul Guvernului, pentru elaborarea, avizarea și prezentarea proiectelor de documente de politici publice, a proiectelor de acte normative, precum și a altor documente, în vederea adoptării/aprobării, aprobat prin
Hotărârea Guvernului nr. 561/2009 ,
directorul general al Oficiului Registrului Național al Informațiilor Secrete de Stat emite prezentul ordin.
Articolul 1
Se aprobă Directiva INFOSEC privind Catalogul național cu pachete, produse și profile de protecție INFOSEC-INFOSEC 5, prevăzută în anexa care face parte integrantă din prezentul ordin.
Articolul 2
Pe data intrării în vigoare a prezentului ordin se abrogă
pentru aprobarea Directivei INFOSEC privind Catalogul național cu produse, profile și pachete de protecție INFOSEC-INFOSEC 5, publicat în Monitorul Oficial al României, Partea I, nr. 135 din 13 februarie 2006.
Articolul 3
Oficiul Registrului Național al Informațiilor Secrete de Stat va duce la îndeplinire prevederile prezentului ordin.
Directorul general al Oficiului Registrului Național al Informațiilor Secrete de Stat, Marius Petrescu București, 2 februarie 2010. Nr. 7.
Anexa DIRECTIVA INFOSEC
privind Catalogul național cu pachete, produse și profile de protecție
INFOSEC-INFOSEC 5
Capitolul I Scop
Articolul 1
Directiva INFOSEC privind Catalogul național cu pachete, produse și profile de protecție INFOSEC - INFOSEC 5 este elaborată de către Oficiul Registrului Național al Informațiilor Secrete de Stat, denumit în continuare ORNISS, ca parte a politicii naționale de protecție a informațiilor clasificate.
Articolul 2
Directiva stabilește procesul și procedurile de realizare, actualizare și păstrare a Catalogului național cu pachete, produse și profile de protecție INFOSEC, denumit în continuare Catalog național.
Articolul 3
Scopul Catalogului național este de a furniza persoanelor juridice de drept public sau privat care au în administrare sisteme informatice și de comunicații, denumite în continuare SIC, care vehiculează informații clasificate și altor entități care au responsabilități în domeniul protecției informațiilor clasificate o listă de pachete, produse și profile de protecție INFOSEC certificate, care pot fi achiziționate în scopul îndeplinirii cerințelor operaționale de securitate.
Capitolul II Definiții
Articolul 4
În sensul prezentei directive, următorii termeni se definesc după cum urmează:
a) nivel de evaluare a asigurării (EAL) - un pachet de componente de asigurare din partea a 3-a a Criteriilor comune, care reprezintă un punct pe scara de asigurare predefinită a Criteriilor comune;
b) pachet - un set reutilizabil de componente fie funcționale, fie de asigurare (de exemplu, un EAL), combinate pentru a satisface un set de obiective de securitate identificate;
c) pachetele, produsele și profilele de protecție INFOSEC cu regim limitat de distribuție și utilizare - acele pachete, produse și profile de protecție INFOSEC dezvoltate în serie limitată destinată strict utilizării în cadrul uneia sau mai multor autorități desemnate de securitate, denumite în continuare ADS;
d) produs - un pachet de software, firmware și/sau hardware IT care furnizează o funcționalitate destinată utilizării sau incorporării într-o multitudine de sisteme;
e) profil de protecție (PP) - un set de cerințe de securitate independent de implementare pentru o categorie de ținte de evaluare care satisface cerințe specifice ale consumatorilor;
f) țintă de evaluare (TOE) - un produs sau sistem IT și documentația aferentă de utilizator și administrator care constituie subiectul unei evaluări;
g) țintă de securitate (ST) - un set de cerințe și specificații de securitate utilizate ca bază pentru evaluarea unei ținte de evaluare identificate;
h) utilizator - orice entitate (utilizator uman sau entitate IT externă) din afara TOE care interacționează cu TOE.
Capitolul III Domeniul de aplicabilitate
Articolul 5
Prezenta directivă este obligatorie pentru persoanele juridice care prezintă pachete, produse și profile de protecție INFOSEC pentru a fi incluse în Catalogul național.
Articolul 6
În raport cu destinația de utilizare, pachetele, produsele și profilele de protecție INFOSEC se împart în două categorii: cu utilizare la nivel național și cu regim limitat de distribuție și utilizare.
Pachetele, produsele și profilele de protecție INFOSEC cu utilizare la nivel național se introduc în Catalogul național.
Pachetele, produsele și profilele de protecție INFOSEC cu regim limitat de distribuție și utilizare se introduc în registrele de evidență a pachetelor, produselor și profilelor de protecție INFOSEC, constituite și păstrate la nivelul ADS cu competențe în coordonarea și controlul măsurilor de protecție a informațiilor clasificate ce vor fi protejate cu acestea.
ADS transmit la ORNISS lista produselor cu regim limitat de distribuție și utilizare care pot fi puse la dispoziția altor ADS, precizând numele, destinația, modelul, versiunea și nivelul de clasificare pentru care au fost certificate, precum și eventualele condiții de utilizare.
Capitolul IV Responsabilități
Articolul 7
În calitate de autoritate națională de securitate, ORNISS are responsabilitatea de a asigura implementarea prezentei directive.
ORNISS este responsabil de coordonarea procesului de certificare a tuturor pachetelor, produselor, profilelor de protecție INFOSEC destinate protecției informațiilor naționale clasificate, care, după certificare, se includ în Catalogul național.
ORNISS este responsabil de elaborarea, actualizarea și publicarea Catalogului național.
Articolul 8
Persoanele juridice care au pachete, produse sau profile de protecție INFOSEC certificate și care solicită ORNISS introducerea acestora în Catalogul național trebuie să pună la dispoziție toate informațiile necesare desfășurării acestui proces, referitoare la:
a) obiectivele de securitate;
b) cerințele funcționale;
c) categoriile de ținte de evaluare.
Articolul 9
Dacă până la expirarea perioadei de valabilitate a certificării elementelor incluse în Catalogul național nu se ia o decizie cu privire la recertificarea acestora, pachetul, produsul, profilul de protecție INFOSEC respectiv este scos de pe listă.
Articolul 10
ADS care au certificat pachete, produse și profile de protecție INFOSEC cu regim limitat de distribuție au obligația de a actualiza registrele de evidență a acestora ori de câte ori este necesar.
Pachetele, produsele și profilele de protecție INFOSEC sunt incluse în registrul de evidență numai după certificarea lor.
Certificarea pachetelor, produselor și profilelor de protecție INFOSEC cu regim limitat de distribuție și utilizare se realizează în cadrul ADS, de către structura internă INFOSEC acreditată de ORNISS, ce are competențe privind coordonarea și controlul măsurilor de protecție a informațiilor clasificate, pe baza raportului de evaluare realizat de entitatea evaluatoare acreditată de ORNISS.
În cazul în care în cadrul ADS nu există structura INFOSEC prevăzută la alin. (3), certificarea se realizează de către ORNISS.
Capitolul V Conținutul Catalogului național
Articolul 11
Catalogul național conține următoarele categorii de liste:
a) produse și mecanisme criptografice;
b) dispozitive de încărcare a cheilor criptografice;
c) produse pentru securitatea emisiilor;
d) produse pentru securitatea tehnologiei informației (IT);
e) instrumente de securitate;
f) pachete și profile de protecție.
Articolul 12
În cadrul listelor prevăzute la art. 11 pot fi incluse în Catalogul național următoarele tipuri de pachete, produse, profile de protecție INFOSEC:
a) dezvoltate pe plan național, evaluate de entități naționale acreditate de ORNISS și certificate de ORNISS;
b) certificate într-un stat membru NATO sau UE ori de către structuri specializate din cadrul NATO sau UE, particularizate și certificate pe plan național;
c) certificate într-un stat membru NATO sau UE;
d) certificate de structurile specializate din cadrul NATO sau UE;
e) certificate conform Criteriilor comune de evaluare de securitate a tehnologiei informației;
f) certificate în alte state decât cele membre ale NATO sau UE.
Articolul 13
Includerea în Catalogul național a pachetelor, produselor și profilelor de protecție INFOSEC utilizate la nivel național se poate face ca urmare a:
a) certificării naționale de către ORNISS a produselor dezvoltate integral în România;
b) certificării de către ORNISS a modului de implementare a acestora în scopul particularizării naționale a pachetelor, produselor și profilelor de protecție INFOSEC certificate într-un stat membru NATO sau UE ori de către structuri specializate din cadrul NATO sau UE;
c) recunoașterii naționale de către ORNISS a certificării produselor NATO și/sau UE;
d) recunoașterii naționale de către ORNISS a certificării conforme Criteriilor comune de evaluare de securitate a tehnologiei informației;
e) recunoașterii reciproce de către ORNISS a certificărilor naționale, prin înțelegeri, acorduri, aranjamente bilaterale, încheiate la nivel guvernamental sau departamental.
Articolul 14
Certificarea sau recunoașterea certificării produselor destinate protecției informațiilor naționale clasificate care se includ în Catalogul național se realizează în conformitate cu normele aprobate prin ordin al directorului general al ORNISS.
Secțiunea 1 Produse și mecanisme criptografice
Articolul 15
Produsele și mecanismele criptografice din Catalogul național se utilizează în funcție de tipul, clasa și nivelul informațiilor clasificate, respectiv naționale, NATO, UE ori ale statelor sau organizațiilor internaționale cu care România a încheiat tratate, înțelegeri sau acorduri care prevăd protecția informațiilor clasificate, conform certificării acestora și mențiunilor din Catalogul național.
Articolul 16
Pentru protecția criptografică a informațiilor naționale clasificate procesate, stocate sau transmise în format electronic se utilizează numai produse și mecanisme criptografice certificate și incluse în Catalogul național sau în registrele de evidență a produselor cu regim limitat de distribuție, în urma evaluării acestora de către entități evaluatoare naționale acreditate de ORNISS.
Articolul 17
ORNISS emite un document de aprobare pentru includerea produselor și mecanismelor criptografice în lista produselor și a mecanismelor criptografice din cuprinsul Catalogului național.
Documentul de aprobare specifică:
a) tipul, clasa și nivelul de secretizare a informațiilor clasificate pentru care sunt destinate produsele;
b) cerințele de utilizare.
Secțiunea 2 Dispozitive de încărcare a cheilor criptografice
Articolul 18
Lista dispozitivelor de încărcare a cheilor criptografice conține dispozitive care sunt aprobate pentru stocarea, procesarea sau transmiterea materialului cu chei criptografice național, NATO, UE ori care fac obiectul tratatelor, înțelegerilor și acordurilor bilaterale sau multilaterale la care România este parte.
Dispozitivele sunt grupate în două categorii, astfel:
a) dispozitive care gestionează cheile în formă clară;
b) dispozitive care aplică un mecanism criptografic ce permite stocarea, procesarea și transmiterea cheii în formă criptată.
Articolul 19
Sunt eligibile spre a fi incluse în Catalogul național numai dispozitivele de încărcare a cheilor criptografice care sunt dezvoltate la nivel național ori într-un stat membru NATO sau UE și care sunt evaluate și aprobate în conformitate cu politica națională, respectiv NATO sau UE, de protecție a informațiilor clasificate.
Secțiunea 3 Produse pentru securitatea emisiilor
Articolul 20
În cadrul Catalogului național, lista produselor pentru securitatea emisiilor cuprinde:
a) lista producătorilor naționali, precum și modelele de produse dezvoltate la nivel național, produse evaluate de o entitate națională acreditată de ORNISS și certificate de ORNISS ca fiind corespunzătoare categoriilor de produse TEMPEST, prevăzute de standardele TEMPEST în vigoare;
b) lista producătorilor externi, precum și modelele de produse recomandate de NATO;
c) lista producătorilor externi, precum și a modelelor de produse certificate din punctul de vedere al protecției TEMPEST fie de ORNISS, fie de o entitate acreditată la nivel național în țara de origine a echipamentelor, cu condiția ca între ORNISS și țara de origine să existe o înțelegere în acest sens.
Schimbarea de componente între diferite serii de producție poate schimba profilul de protecție, ceea ce implică reevaluarea produsului.
Secțiunea 4 Produse de securitate IT
Articolul 21
Scopul listei cu produse de securitate IT din cadrul Catalogului național este să furnizeze autorităților operaționale ale sistemelor informatice și de comunicații (AOSIC), structurilor de planificare și implementare a sistemelor informatice și de comunicații, personalului implicat în proiect și utilizatorilor sistemelor informatice și de comunicații care vehiculează informații clasificate secret de stat un set de produse certificate și de informații de bază referitoare la acestea, set care poate fi folosit drept ghid în vederea îndeplinirii cerințelor naționale de securitate privind protecția informațiilor clasificate.
Articolul 22
Produsele din lista prevăzută la art. 21 sunt evaluate și certificate în baza Criteriilor comune pentru evaluarea securității produselor IT (ISO 15408).
Fiecărui produs i se atribuie un pachet de componente de asigurare, de exemplu, un nivel de încredere (EAL sau echivalent).
În cazul în care un produs a fost evaluat sau propus spre evaluare în baza unui set de criterii naționale, trebuie să fie furnizate detalii privind corespondențele dintre criteriile naționale și Criteriile comune.
Articolul 23
Produsele din listă pot fi împărțite în următoarele categorii, fără a se limita la acestea:
a) dispozitive și sisteme de control al accesului;
b) dispozitive și sisteme de protecție a perimetrului;
c) baze de date;
d) dispozitive și sisteme de detecție a intruziunilor;
e) semnătură digitală;
f) protecția datelor;
g) circuite integrate, dispozitive și sisteme Smart Card;
h) sisteme de management al cheilor;
i) rețele, sisteme și dispozitive de rețea;
j) sisteme de operare;
k) alte dispozitive și sisteme.
Produsele cu modul criptografic încorporat pot fi incluse în listă în mai multe categorii sau sub o altă categorie decât criptografia (de exemplu, un sistem de operare nu va fi numit produs criptografic, deși face uz de criptografie).
Articolul 24
Informațiile necesare includerii în listă a produselor pentru securitate IT conțin cel puțin următoarele elemente, după caz:
a) denumirea și producătorul;
b) informații descriptive privind produsul, care vor include: funcționalitatea produsului și pachetul componentelor de siguranță (de exemplu, un nivel de încredere);
c) raport de certificare;
d) acord de recunoaștere reciprocă;
e) versiunile Criteriilor comune și Metodologiei comune de evaluare utilizate.
Secțiunea 5 Instrumente de securitate
Articolul 25
Lista instrumentelor de securitate din cadrul Catalogului național se adresează autorităților operaționale ale sistemelor informatice și de comunicații (AOSIC), structurilor de planificare și implementare a sistemelor informatice și de comunicații și personalului implicat în proiectarea sistemelor informatice și de comunicații. Aceasta este o listă a instrumentelor de securitate conforme cu prevederile Directivei INFOSEC tehnice și de implementare privind cerințele instrumentelor de securitate, selectarea, aprobarea și implementarea acestora - INFOSEC 9, aprobată prin
Ordinul directorului general al Oficiului Registrului Național al Informațiilor Secrete de Stat nr. 390/2004 , publicat în Monitorul Oficial al României, Partea I, nr. 1.081 din 19 noiembrie 2004.
Articolul 26
Lista include următoarele tipuri de instrumente:
a) instrumente pentru identificarea vulnerabilităților sistemelor;
b) instrumente pentru îmbunătățirea securității sistemului;
c) instrumente pentru detectarea intruziunilor;
d) instrumente pentru raportarea stării sistemului;
e) instrumente pentru monitorizarea traficului din rețea;
f) instrumente pentru administrarea sistemului.
Articolul 27
Descrierea fiecărui instrument trebuie să includă următoarele informații:
a) denumirea și producătorul;
b) caracteristicile funcționale;
c) beneficiile care vor fi obținute în urma utilizării instrumentului;
d) vulnerabilitățile, dacă este cazul, care apar prin utilizarea instrumentului;
e) constrângeri privind utilizarea instrumentului;
f) resurse/experiența/suportul/pregătirea necesare operării.
Articolul 28
Lista instrumentelor de securitate nu include detaliile cu privire la vulnerabilități. Lista face referire doar la raportul de evaluare a instrumentului. Informațiile privind vulnerabilitățile sunt puse la dispoziție numai acelor autorități ale sistemelor informatice și de comunicații și de securitate care au o "nevoie de a cunoaște" corespunzătoare.
Secțiunea 6 Pachete și profile de protecție
Articolul 29
Solicitantul trebuie să furnizeze cel puțin următoarele informații:
a) denumirea pachetului/profilului de protecție și a producătorului;
b) o declarație din care să reiasă dacă pachetul sau profilul de protecție este propus ca o nouă poziție în listă ori ca înlocuire a unei poziții din listă;
c) mențiuni speciale, în situația în care pachetul sau profilul de protecție conțin informații clasificate, care intră sub incidența drepturilor de autor/proprietate intelectuală sau care nu pot fi făcute publice.
Articolul 30
Informațiile necesare includerii în listă a pachetelor/profilelor de protecție vor trata cel puțin aspectele privitoare la:
a) denumirea pachetului/profilului de protecție;
b) autor;
c) autoritatea de certificare;
d) entitatea care a efectuat evaluarea;
e) nivelul de încredere;
f) data certificării;
g) versiunile Criteriilor comune și ale Metodologiei comune de evaluare utilizate.
Capitolul VI Gestionarea Catalogului național
Articolul 31
Catalogul național este actualizat periodic, pe măsura certificării de noi produse naționale și în conformitate cu modificările survenite în listele cu produse recomandate de NATO sau UE.
Articolul 32
Catalogul național este distribuit de ORNISS persoanelor juridice de drept public sau privat îndreptățite.
Articolul 33
ORNISS va conlucra în mod continuu cu producătorii naționali de produse INFOSEC pentru a asigura informațiile necesare pentru fiecare pachet, produs ori profil de protecție care urmează să fie adăugat în catalog sau pentru orice produs care trebuie să fie îndepărtat din catalog.
__________
Textul este prelucrat automat din sursa indicată; numerotarea și legăturile pot conține erori. Referințele subliniate duc la actele citate, așa cum au fost identificate de noi.