Metodologia din 28 martie 2012
a entităților pentru evaluarea produselor de securitate IT și a sistemelor informatice și de comunicații - INFOSEC 12
prezumat în vigoare
Capitolul I Introducere
Secțiunea 1 Scop
Articolul 1
Prezenta metodologie de acreditare stabilește cerințele și activitățile aferente procesului de acreditare a entităților evaluatoare a produselor și soluțiilor de securitate IT, precum și a sistemelor informatice și de comunicații, naționale, civile sau militare, denumite în continuare SIC, care vehiculează informații clasificate.
Articolul 2
Metodologia de acreditare a entităților evaluatoare are următoarele obiective:
a) verificarea faptului că entitatea evaluatoare satisface criteriile de calitate impuse prin regulile și standardele specifice sau deține certificat de calitate emis de o autoritate recunoscută de către Oficiul Registrului Național al Informațiilor Secrete de Stat, denumit în continuare ORNISS;
b) verificarea faptului că personalul entității evaluatoare are nivelul de pregătire tehnică necesar pentru desfășurarea activităților aferente proceselor de evaluare;
c) verificarea faptului că entitatea evaluatoare are dotarea tehnică necesară desfășurării activităților pentru care solicită acreditarea;
d) verificarea faptului că entitatea evaluatoare are capacitatea de a aplica criteriile de evaluare și metodologiile asociate;
e) verificarea faptului că entitatea evaluatoare are implementat un sistem de protecție a informațiilor, conform cerințelor impuse de procesul de evaluare.
Articolul 3
Pentru a desfășura activitatea de evaluare a produselor și soluțiilor de securitate IT destinate utilizării în SIC care vehiculează informații clasificate, entitățile evaluatoare trebuie să îndeplinească următoarele condiții:
a) pentru evaluarea de produse și soluții de securitate IT, altele decât cele criptografice, trebuie să fie acreditate de ORNISS;
b) pentru evaluarea produselor criptografice, altele decât cele din categoria cifrului de stat, trebuie să fie desemnate ca entități evaluatoare în cadrul Serviciului de Informații Externe (SIE), Serviciului Român de Informații (SRI) sau Ministerului Apărării Naționale (MApN) ori să fie acreditate de ORNISS, cu acordul acestor instituții.
Prin ordin al directorului general al ORNISS se stabilește metodologia de acreditare a entităților de evaluare a produselor criptografice, altele decât cele din categoria cifrului de stat.
Articolul 4
În vederea acreditării de către ORNISS, entitățile evaluatoare trebuie să îndeplinească criteriile de acreditare prevăzute în anexa nr. 1.
Secțiunea 2 Definiții
Articolul 5
În cuprinsul prezentei metodologii de acreditare, următorii termeni și sintagme se definesc după cum urmează:
a) acreditare - aprobarea acordată de ORNISS entităților evaluatoare, prin care acestea sunt autorizate să desfășoare activitățile aferente procesului de evaluare a produselor și soluțiilor de securitate IT, precum și a SIC care vehiculează informații clasificate;
b) evaluare - examinarea detaliată, din punct de vedere tehnic și funcțional, a aspectelor de securitate ale produselor și soluțiilor de securitate IT.
Prin procesul de evaluare se verifică cel puțin:
1. prezența facilităților/funcțiilor de securitate cerute;
2. absența efectelor secundare compromițătoare care ar putea decurge din implementarea facilităților de securitate;
3. funcționalitatea globală a produsului sau soluției de securitate IT;
4. nivelul de încredere al produselor și soluțiilor de securitate IT;
c) produs de securitate IT - orice element de securitate care se încorporează într-un SIC, în scopul asigurării sau sporirii confidențialității, integrității informațiilor vehiculate și a disponibilității informațiilor, resurselor și serviciilor acestuia;
d) soluție de securitate IT - ansamblu de componente specifice de securitate ale unui SIC, necesare asigurării unui nivel corespunzător de protecție pentru informațiile clasificate care urmează a fi stocate, procesate sau transmise prin acesta.
Capitolul II Procesul de acreditare
Articolul 6
Procesul de acreditare a entităților evaluatoare constă în parcurgerea următoarelor etape:
a) solicitarea acreditării și pregătirea documentației de acreditare;
b) analiza documentației de acreditare;
c) inspecția de acreditare;
d) realizarea unei evaluări pilot pentru un produs sau o soluție de securitate IT;
e) luarea unei decizii privind acreditarea;
f) emiterea documentelor conform deciziei de acreditare;
g) activități postacreditare.
Articolul 7
Schema de mai jos prezintă procesul de acreditare a entităților evaluatoare ale produselor și soluțiilor de securitate IT. Fiecare dintre activitățile acestui proces este tratată pe larg în prezenta metodologie de acreditare. Responsabil Activități Documente Solicitantul Solicitarea acreditării ┌───────────────────────┐ acordării - │Solicitarea acreditării│ ◄───────┐ Adresa și └──────────╥────────────┘ │ documentația ║ │ de acreditare ▼ │ Comisia de ┌───────────────────────┐ │ acreditare ┌─► │Analiza documentației │ │ Raport de │ └──────────╥────────────┘ │ analiză a │ ║ │ documentației ┌────────┴───────┐ ▼ │ Solicitantul │ Corectarea │ . │ acreditării │ deficiențelor │ . . │ └────────┬───────┘ . . │ │ . . │ Raport al └───────. Documentație . │ comisiei de NU . completă . │ acreditare . . │ . . │ . . │ . │ ║ │ ▼ DA │ ┌──────────────────┐ │ Raportul Comisia de │ Inspecția de │ │ comisiei de acreditare │ acreditare │ │ acreditare └──────╥───────────┘ │ ║ │ ▼ │ ┌──────────────────┐ │ ┌──────────► │ Realizarea une │ │ Solicitantul ┌──────┴────────┐ │ evaluări pilot │ │ acreditării │ Corectarea │ └───────╥──────────┘ │ │ deficientelor │ ║ │ └───────────────┘ ║ ┌───────┴───────┐ ▲ ║ │ Corectarea │ Directorul┌────────┴───────────────┐ ║ │ deficiențelor │ general al│Emiterea Certificatului │ ▼ └───────────────┘ ORNISS │de acreditare temporară │ . ▲ └────────────────────────┘ . . │ ▲ . . Neacreditare │ │ . Decizia . │ Raport de └────────. privind .─────────────┘ evaluare Acreditarea . acreditarea . temporară . . . . . . . ║ Acreditare ║ deplină ▼ Directorul ┌─────────────────────────┐ Certificat de general al │Eliberarea Certificatului│ Acreditare ORNISS │ de acreditare │ Introducere în └──────────╥──────────────┘ lista entităților ║ evaluatoare ║ acreditate ▼ Comisi de ┌─────────────────────────┐ acreditare │Activități postacreditare│ └─────────────────────────┘ Procesul de acreditare a entităților evaluatoare ale produselor și soluțiilor de securitate IT
Capitolul III Descrierea metodologiei de acreditare
Secțiunea 1 Solicitarea acreditării
1. Documente care trebuie înaintate la ORNISS
Articolul 8
Solicitarea acreditării se face prin transmiterea către ORNISS, de către reprezentantul legal al entității evaluatoare, a unei cereri de acreditare.
Articolul 9
Cererea de acreditare trebuie să fie însoțită de următoarele documente:
a) copie a documentului oficial în baza căruia se organizează și funcționează entitatea evaluatoare pentru care se solicită acreditarea;
b) copie a certificatului conținând codul unic de identificare al entității evaluatoare sau al persoanei juridice care solicită acreditarea, după caz;
c) un document oficial care să precizeze cel puțin următoarele:
(i) lista cuprinzând numerele de înregistrare și denumirea documentelor interne care stabilesc politica de securitate privind protecția informațiilor clasificate vehiculate în cadrul entității evaluatoare;
(îi) nivelul maxim de secretizare a informațiilor care pot fi vehiculate în cadrul entității evaluatoare;
(iii) faptul că personalul entității evaluatoare implicat în procesul de evaluare deține certificate de securitate corespunzătoare nivelului de secretizare a informațiilor la care acesta are acces, conform principiului necesității de a cunoaște;
(iv) alte tipuri de acreditări/certificări obținute de entitatea evaluatoare, considerate relevante pentru analiza solicitării, cum ar fi Certificat de acreditare de securitate pentru SIC din cadrul entității evaluatoare, Certificat de zonare TEMPEST a locațiilor entității evaluatoare, Certificat de caracterizare TEMPEST a echipamentelor entității evaluatoare etc.;
d) un document oficial care să cuprindă cel puțin:
(i) prezentarea generală a activității desfășurate de entitatea evaluatoare până în momentul solicitării acreditării;
(îi) organigrama entității evaluatoare;
(iii) schema de relaționare a entității evaluatoare cu alte structuri interne ale persoanei juridice;
(iv) atribuțiile și responsabilitățile compartimentelor din cadrul entității evaluatoare;
e) un document oficial care să cuprindă:
(i) lista cu numerele de înregistrare și denumirile procedurilor privind sistemul calității (Manualul calității);
(îi) lista instrumentelor hardware și software din dotare și/sau închiriate, utilizate pentru activitățile pentru care se solicită acreditarea;
f) aspecte privind personalul implicat în activitățile pentru care se solicită acreditarea - pregătirea personalului din punct de vedere profesional și al securității, certificări de securitate;
g) descrierea măsurilor și procedurilor de securitate ale entității evaluatoare (administrarea securității, securitatea fizică, securitatea informațiilor, securitatea personalului, INFOSEC);
h) criterii și proceduri specifice referitoare la desfășurarea activităților pentru care se solicită acreditarea;
i) documente din care să reiasă experiența acumulată de entitatea evaluatoare în domeniul prestării de servicii de evaluare a produselor și soluțiilor de securitate IT, după caz;
j) orice alte informații relevante privind solicitantul, corelate cu cererea sa.
Articolul 10
Documentele prevăzute la art. 9 lit. a)-j) constituie documentația de acreditare. O copie a acestui dosar sau referințe la documentele interne, după caz, trebuie să fie transmise la ORNISS.
Articolul 11
În cazul în care documentația de acreditare nu este completă, ORNISS va informa solicitantul asupra acestui fapt, în vederea furnizării informațiilor adiționale necesare.
Articolul 12
Dacă documentația de acreditare este completă, ORNISS va înștiința solicitantul și va demara etapa de analiză a documentației.
Articolul 13
În cazul în care apar modificări ale documentelor care constituie dosarul de acreditare, versiunile modificate trebuie transmise la ORNISS.
Articolul 14
Anexa nr. 2 prezintă, cu titlu de exemplu, un set de tipuri de proceduri care abordează aspectele enumerate mai sus. Procedurile pot face obiectul unor documente separate sau al unui document unitar, în funcție de decizia conducerii persoanei juridice. Toate procedurile trebuie aprobate de reprezentantul legal al persoanei juridice solicitante.
2. Condiții de acreditare
Articolul 15
Pentru ca entitatea evaluatoare să fie acreditată și pentru păstrarea statutului de entitate evaluatoare acreditată, reprezentantul legal trebuie să se angajeze în scris să îndeplinească următoarele cerințe:
a) să asigure respectarea criteriilor de acreditare stabilite în anexa nr. 1;
b) să cunoască și să respecte prezenta metodologie de acreditare și să asigure condițiile necesare pentru realizarea activităților de verificare și inspecție;
c) să analizeze recomandările formulate de ORNISS și să asigure implementarea de măsuri corective, după caz;
d) să respecte condițiile impuse de ORNISS cu privire la modul de utilizare a certificatului de acreditare, conform prevederilor anexei nr. 3;
e) să notifice ORNISS, în termen de maximum 30 de zile, orice modificare majoră care poate afecta activitatea entității evaluatoare, cum ar fi:
(i) modificarea statutului juridic, a structurii organizatorice sau a acționariatului;
(îi) modificări ale politicilor și procedurilor interne de securitate, după caz;
(iii) modificări ale locației;
(iv) schimbarea reprezentantului legal sau a personalului abilitat să semneze rapoartele de evaluare;
(v) modificări de personal, de echipamente, ale mediului operațional sau ale altor resurse, dacă sunt semnificative pentru activitățile pentru care entitatea evaluatoare este acreditată;
(vi) orice alte aspecte care pot afecta activitatea entității evaluatoare sau respectarea de către aceasta a criteriilor de acreditare;
f) să returneze la ORNISS certificatul de acreditare la expirarea termenului de valabilitate a acreditării, în cazurile în care ORNISS constată că nu mai sunt menținute condițiile pentru care a fost acordată acreditarea, precum și la inițiativa sa, odată cu notificarea ORNISS despre decizia de a renunța la efectuarea activităților pentru care a fost acreditată entitatea evaluatoare.
Secțiunea 2 Analiza documentației
Articolul 16
ORNISS va întocmi și va transmite solicitantului un raport de analiză a documentației, în termen de 30 de zile de la data înregistrării la ORNISS a documentației de acreditare complete, prevăzută la art. 9.
Articolul 17
La primirea solicitării, directorul general al ORNISS dispune constituirea unei comisii de acreditare și desemnează o persoană responsabilă cu managementul procesului de acreditare (care va reprezenta și punctul de contact al ORNISS cu solicitantul).
Articolul 18
Comisia de acreditare este responsabilă de gestionarea procesului de acreditare pe toată durata acestuia.
Articolul 19
Principalele responsabilități ale comisiei de acreditare desemnate pentru gestionarea procesului de acreditare sunt:
a) analiza documentației transmise de solicitant;
b) realizarea verificării preliminare a modului în care sunt satisfăcute criteriile de acreditare de către solicitant;
c) întocmirea raportului de verificare preliminară și formularea de propuneri referitoare la acordarea acreditării temporare sau a recomandărilor necesare corectării anumitor aspecte negative constatate;
d) realizarea inspecției de acreditare;
e) întocmirea raportului de inspecție și formularea de propuneri privind decizia de acreditare;
f) monitorizarea activităților desfășurate de către entitatea evaluatoare, în baza acreditării acordate de ORNISS și a menținerii condițiilor conform cărora a fost acordată acreditarea;
g) formularea propunerilor cu privire la reacreditarea entității evaluatoare, la expirarea certificatului de acreditare, pe baza unei noi solicitări de acreditare;
h) formularea propunerilor cu privire la retragerea acreditării, în cazul în care se constată modificarea condițiilor existente la momentul acordării certificatului de acreditare.
Articolul 20
În cazul în care comisia de acreditare constată că documentația de acreditare este completă și corect întocmită, va organiza inspecția de acreditare la sediul entității evaluatoare.
Articolul 21
În cazul în care documentația de acreditare necesită completări sau modificări, ORNISS va informa entitatea evaluatoare în acest sens. După corectarea deficiențelor, entitatea evaluatoare trebuie să transmită la ORNISS noua versiune a documentației de acreditare, care va fi reanalizată de comisia de acreditare, în scopul întocmirii unui nou raport de analiză.
Secțiunea 3 Inspecția de acreditare
Articolul 22
Pentru a verifica posibilitățile entității evaluatoare solicitante de a îndeplini criteriile de acordare a certificatului de acreditare, enunțate în anexa nr. 1, ORNISS trebuie să efectueze o inspecție de acreditare la sediul solicitantului.
Articolul 23
Inspecția de acreditare este realizată de o echipă desemnată de către directorul general al ORNISS, la propunerea comisiei de acreditare, formată din experți din cadrul ORNISS și, după caz, experți din afara ORNISS, cu pregătire tehnică adecvată și autorizați corespunzător.
Articolul 24
Entitatea evaluatoare solicitantă trebuie informată cu privire la componența echipei de inspecție. În cazul în care există motive obiective în ceea ce privește securitatea informațiilor sau conflicte de interese, entitatea evaluatoare solicitantă poate refuza componența echipei de inspecție. Motivația trebuie să fie scrisă, însușită de reprezentantul legal al persoanei juridice din care face parte entitatea evaluatoare sau de reprezentantul legal al entității evaluatoare, dacă aceasta are personalitate juridică.
Articolul 25
Raportul întocmit de echipa care a realizat inspecția de acreditare trebuie să precizeze dacă entitatea evaluatoare solicitantă îndeplinește sau nu criteriile pentru continuarea procesului de acreditare.
Articolul 26
În cazul în care rezultatele acestei inspecții de acreditare confirmă faptul că entitatea evaluatoare satisface criteriile de acreditare, aceasta este informată în scris și poate demara etapa de evaluare-pilot.
Secțiunea 4 Evaluarea-pilot
Articolul 27
În vederea verificării de către ORNISS a faptului că entitatea evaluatoare are capacitatea de a efectua în mod corect activitățile pentru care solicită acreditarea, entitatea evaluatoare are obligația să efectueze o evaluare-pilot.
Articolul 28
Evaluarea-pilot trebuie să se desfășoare în conformitate cu procedurile de evaluare utilizate de solicitantul acreditării. Entitatea evaluatoare trebuie să notifice la ORNISS stadiul procesului de evaluare-pilot.
Articolul 29
După finalizarea evaluării-pilot, entitatea evaluatoare are obligația de a transmite la ORNISS raportul de evaluare.
Articolul 30
Comisia de acreditare poate organiza o nouă inspecție la sediul entității evaluatoare, pentru a verifica, în mod special, dacă recomandările formulate în cursul inspecției de acreditare au fost analizate și au condus la acțiuni corective.
Articolul 31
Membrii echipei de inspecție întocmesc raportul de inspecție, care trebuie să precizeze dacă entitatea evaluatoare îndeplinește criteriile de acreditare enunțate în anexa nr. 1.
Articolul 32
Raportul întocmit de membrii echipei de inspecție trebuie să conțină și propuneri cu privire la decizia de acordare a acreditării entității evaluatoare.
Secțiunea 5 Decizia privind acreditarea
Articolul 33
După parcurgerea activităților mai sus menționate, la propunerea comisiei de acreditare, directorul general al ORNISS decide cu privire la acreditarea entității evaluatoare.
Articolul 34
Opțiunile referitoare la acreditare sunt următoarele:
a) acreditarea deplină - se acordă pentru o perioadă de maximum 3 ani, în cazul în care criteriile de acreditare sunt respectate;
b) acreditarea temporară - se acordă pentru o perioadă de maximum 12 luni, pentru a permite entității evaluatoare să realizeze evaluarea-pilot sau în cazul în care nu toate condițiile de acreditare sunt îndeplinite. În certificatul de acreditare temporară trebuie să fie specificate condițiile în care este acordată acreditarea temporară, precum și activitățile ce trebuie întreprinse și realizate de solicitant înainte de obținerea acreditării depline;
c) neacreditarea - reprezintă decizia luată în cazul în care se identifică deficiențe majore în îndeplinirea criteriilor de acreditare.
Articolul 35
În cazul în care se ia decizia acreditării depline sau temporare, directorul general al ORNISS emite certificatul de acreditare corespunzător.
Articolul 36
În certificatul de acreditare trebuie să se precizeze activitățile pentru care entitatea evaluatoare este acreditată. Anexa nr. 4 prezintă un exemplu de astfel de activități. Pentru fiecare tip de activități, pe certificat pot fi înscrise clarificări, restricții sau completări, după caz.
Articolul 37
Certificatul de acreditare trebuie utilizat de către titular numai în scopul pentru care a fost emis.
Articolul 38
În cazul acordării acreditării, entitatea evaluatoare este inclusă în lista entităților evaluatoare acreditate, publicată pe site-ul web al ORNISS.
Articolul 39
Entitatea evaluatoare trebuie să stabilească o delimitare clară între activitățile autorizate prin certificatul de acreditare emis de ORNISS și celelalte activități pe care le realizează. Această delimitare trebuie să se reflecte în toate documentele oficiale emise de entitatea evaluatoare (oferte de servicii, contracte, rapoarte de evaluare etc.).
Secțiunea 6 Activități postacreditare
Articolul 40
Pe toată perioada de valabilitate a certificatului de acreditare, ORNISS trebuie să desfășoare inspecții postacreditare, pentru a verifica menținerea respectării criteriilor de acreditare.
Articolul 41
Inspecțiile postacreditare sunt realizate anual sau ori de câte ori ORNISS primește notificarea de la reprezentantul legal al entității evaluatoare, cu privire la modificări survenite în organizarea sau activitatea entității, modificări care pot influența procesul de evaluare pentru care entitatea a fost acreditată.
Articolul 42
ORNISS trebuie să ofere consultanță cu privire la implicațiile pe care diferite modificări ale mediului operațional le pot avea asupra desfășurării activității entității evaluatoare și, implicit, asupra acreditării.
Articolul 43
ORNISS trebuie să mențină o bază de date care să conțină informații cu privire la toate entitățile evaluatoare ale produselor și soluțiilor de securitate IT acreditate.
Secțiunea 7 Modificarea domeniului de aplicabilitate a acreditării
Articolul 44
Procedura de modificare a domeniului de aplicabilitate a acreditării poate fi demarată în următoarele situații:
a) la cererea entității evaluatoare de lărgire a sferei de activități acreditate. Spre exemplu, dacă entitatea evaluatoare recrutează noi experți, dezvoltă metode noi sau achiziționează echipamente noi, poate solicita o extindere a domeniului acreditării. Pentru a modifica domeniul tehnologic, trebuie înaintată o nouă solicitare către ORNISS, urmând a se relua întregul proces de acreditare;
b) la cererea ORNISS, dacă se constată o restrângere a capabilităților entității evaluatoare. De exemplu, dacă experți ce dețin cunoștințe tehnice importante părăsesc entitatea evaluatoare, ORNISS poate restrânge domeniul pentru care a fost emis certificatul de acreditare.
1. Modificări la cererea entității evaluatoare
Articolul 45
În cazul în care dorește modificarea domeniului de aplicabilitate a acreditării, entitatea evaluatoare trebuie să transmită la ORNISS o solicitare în acest sens, împreună cu toate elementele care susțin această cerere.
Articolul 46
În termen de maximum 30 de zile de la data înregistrării solicitării, comisia de acreditare organizează și efectuează o inspecție la sediul entității evaluatoare pentru a verifica aceste elemente și întocmește un raport în care formulează propuneri cu privire la modificarea solicitată.
Articolul 47
Directorul general al ORNISS, la propunerea comisiei de acreditare, decide cu privire la modificarea sau păstrarea domeniului de activitate pentru care a fost emis certificatul de acreditare.
Articolul 48
În cazul în care se decide modificarea domeniului de activitate, directorul general al ORNISS anulează vechiul certificat și emite un nou certificat de acreditare, cu valabilitate maximă de 3 ani.
Articolul 49
Reprezentantul legal al entității evaluatoare are obligația de a remite vechiul certificat la ORNISS, în termen de maximum 10 zile de la data intrării în vigoare a noului certificat.
2. Modificarea la cererea ORNISS
Articolul 50
În cazul în care apar elemente care pot afecta calitatea activităților pentru care o entitate evaluatoare este acreditată, directorul general al ORNISS, la propunerea comisiei de acreditare, trimite entității evaluatoare acreditate o notificare în care sunt identificate aceste elemente, precum și riscurile pe care acestea le reprezintă pentru activitățile pentru care a fost acordată acreditarea.
Articolul 51
Notificarea trebuie să precizeze un interval de timp, care să nu depășească 6 luni, în care entitatea evaluatoare trebuie să dezvolte și să aplice măsuri corective, pentru a avea dreptul să păstreze acreditarea.
Articolul 52
Comisia de acreditare trebuie să organizeze și să realizeze o inspecție la sediul entității evaluatoare pentru verificarea măsurilor corective implementate și să întocmească un raport cu propuneri referitoare la modificarea certificatului de acreditare.
Articolul 53
La sfârșitul perioadei stabilite, directorul general al ORNISS, la propunerea comisiei de acreditare, decide modificarea sau păstrarea domeniului de acreditare.
Articolul 54
În cazul în care se decide modificarea domeniului de aplicabilitate a acreditării, directorul general al ORNISS anulează vechiul certificat și emite un nou certificat de acreditare, cu valabilitate maximă de 3 ani.
Secțiunea 8 Reînnoirea acreditării
Articolul 55
Reprezentantul legal al entității evaluatoare poate solicita ORNISS o reînnoire a certificatului de acreditare cu cel puțin 30 de zile înainte de expirarea perioadei de valabilitate a certificatului de acreditare pe care îl deține.
Articolul 56
Ca urmare a acestei solicitări, ORNISS efectuează o inspecție la sediul entității evaluatoare cu scopul de a verifica menținerea criteriilor de acreditare și îndeplinirea obligațiilor ce revin entității prin certificatul de acreditare.
Articolul 57
Raportul întocmit în urma inspecției trebuie să conțină propuneri cu privire la reacreditarea entității evaluatoare.
Articolul 58
Directorul general al ORNISS, la propunerea comisiei de acreditare, ia decizia privind reacreditarea.
Articolul 59
În cazul în care entitatea evaluatoare nu dorește reînnoirea acreditării, este suficient să transmită originalul certificatului de acreditare care a expirat, în termen de maximum 10 zile de la expirarea acestuia.
Articolul 60
În aceste condiții, la expirarea valabilității certificatului de acreditare, entitatea evaluatoare va fi înscrisă în lista entităților evaluatoare a căror acreditare a expirat, care se publică pe site-ul web al ORNISS.
Secțiunea 9 Anularea sau suspendarea certificatului de acreditare
Articolul 61
Directorul general al ORNISS, la propunerea comisiei de acreditare, poate anula sau, după caz, suspenda certificatul de acreditare acordat unei entități evaluatoare, în următoarele situații:
a) entitatea evaluatoare nu și-a respectat obligațiile ce îi revin conform certificatului de acreditare;
b) entitatea evaluatoare nu a informat ORNISS sau a furnizat date false cu privire la informațiile prevăzute la art.15 lit. e);
c) a fost aprobată modificarea domeniului de aplicabilitate a acreditării, în conformitate cu una dintre procedurile prevăzute la secțiunea a 7-a, și este emis un nou certificat de acreditare;
d) entitatea evaluatoare își modifică domeniul de activitate sau își încetează activitatea;
e) din motive ce privesc apărarea națională sau siguranța statului;
f) în cazul în care nu sunt respectate criteriile de acreditare, au loc incidente de securitate care pot afecta calitatea activității de evaluare, imaginea entității evaluatoare etc.
Articolul 62
În cazul anulării certificatului de acreditare, entitatea evaluatoare are obligația de a transmite la ORNISS certificatul anulat, în termen de maximum 10 zile de la data anulării.
1. Anularea sau suspendarea certificatului de acreditare la cererea entității evaluatoare
Articolul 63
În cazul în care entitatea evaluatoare decide să își modifice domeniul de activitate sau să își întrerupă activitatea are obligația de a informa ORNISS cu privire la această decizie și de a solicita anularea sau, după caz, suspendarea certificatului de acreditare.
Articolul 64
În această situație, ORNISS anulează sau suspendă certificatul de acreditare și retrage entitatea din lista entităților evaluatoare acreditate.
2. Anularea sau suspendarea certificatului de acreditare la propunerea comisiei de acreditare
Articolul 65
Comisia de acreditare poate propune directorului general al ORNISS suspendarea certificatului de acreditare pe o perioadă care să nu depășească 6 luni.
Articolul 66
În acest interval, entitatea evaluatoare trebuie să implementeze măsuri corective, care să conducă la îndeplinirea criteriilor de acreditare.
Articolul 67
La sfârșitul perioadei de suspendare, comisia de acreditare propune directorului general al ORNISS numirea unei noi echipe de inspecție, care să realizeze o inspecție la sediul entității evaluatoare, pentru a verifica conformitatea cu criteriile de acreditare.
Articolul 68
Ulterior inspecției, echipa de inspecție întocmește un raport cu propuneri privind menținerea sau anularea certificatului de acreditare.
Articolul 69
La propunerea comisiei de acreditare, directorul general al ORNISS poate anula certificatul de acreditare.
3. Consecințele anulării/suspendării acreditării
Articolul 70
Entitatea evaluatoare este scoasă din lista entităților evaluatoare acreditate.
Articolul 71
Entitatea evaluatoare nu mai are dreptul să demareze o nouă activitate evaluatoare aflată sub incidența certificatului de acreditare, iar evaluările în curs sunt suspendate.
Articolul 72
Entitatea evaluatoare trebuie să pună la dispoziția ORNISS toate datele referitoare la evaluările efectuate în baza certificatului de acreditare emis de ORNISS.
Articolul 73
Bibliografia actelor normative și documentelor cu relevanță în domeniu este prevăzută în anexa nr. 5.
Articolul 74
Anexele nr. 1-5 fac parte integrantă din prezenta metodologie de acreditare.
Anexa 1 la metodologia de acreditare
CRITERII DE ACREDITARE
A. Management
A.1. Cerințe privind statutul juridic
C1 Entitatea evaluatoare trebuie să aibă personalitate juridică.
A.2. Cerințe privind organizarea
C2 În cazul în care entitatea evaluatoare face parte dintr-o persoană juridică cu un obiect de activitate mai larg, responsabilitățile personalului de conducere care participă la activitățile pentru care entitatea evaluatoare solicită acreditarea sau care le poate influența trebuie clar definite, pentru a evita eventuale conflicte de interese.
C3 Entitatea evaluatoare și personalul său nu trebuie să fie supuși niciunor presiuni de ordin comercial, financiar sau de altă natură, care să le afecteze capacitatea de decizie sau calitatea activităților întreprinse.
De exemplu, orice presiune asupra deciziilor privind activitatea pentru care se solicită acreditarea, exercitată de persoane sau organizații din afara entității evaluatoare, trebuie exclusă.
C4 Entitatea evaluatoare nu trebuie să fie implicată în nicio activitate care poate avea un impact negativ asupra independenței activităților întreprinse. Procedurile aplicabile la nivelul entității evaluatoare trebuie să asigure respectarea acestei cerințe. Termenul de separare a activităților care pot influența evaluarea va fi de cel puțin 3 ani.
De exemplu, dacă entitatea evaluatoare oferă și servicii de consultanță sau soluții de securitate IT acestea nu trebuie în niciun fel să afecteze independența evaluărilor derulate de entitatea evaluatoare prin oferirea unor astfel de servicii simultan cu evaluarea.
C5 Organizarea entității evaluatoare și responsabilitățile acesteia trebuie atent și clar definite. Atribuirea responsabilităților trebuie să fie făcută conform regulamentului intern de organizare și funcționare. Acest regulament trebuie să specifice, suplimentar:
● persoana juridică din care face parte entitatea evaluatoare și care este modul de subordonare al acesteia;
● modul de organizare generală a entității evaluatoare și structura managementului, cu precizarea responsabilităților fiecărei poziții în activitățile pentru care se solicită acreditarea;
● modul de organizare a activităților tehnice și existența următoarelor funcții:
- director tehnic - responsabil de operațiile tehnice, gestionează resursele necesare asigurării calității activității de evaluare;
- director pentru asigurarea calității - (nu poate deține în același timp și funcția de director tehnic) care are responsabilitatea și autoritatea de a asigura implementarea sistemului calității. Directorul pentru asigurarea calității trebuie să participe la procesul de luare a deciziilor privind probleme de politici sau legate de resursele entității evaluatoare;
- șeful structurii de securitate/funcționarul de securitate al entității evaluatoare - (nu poate deține în același timp și funcția de director tehnic) este însărcinat cu definirea și implementarea procedurilor de securitate în cadrul entității evaluatoare. El va verifica aplicarea procedurilor.
Aceeași persoană poate deține una sau mai multe funcții dacă acest lucru este aprobat de directorul general, cu excepția cazurilor menționate mai sus.
C6 Pentru a se asigura permanența îndeplinirii responsabilităților ce revin funcțiilor de conducere, acestea pot fi delegate unor persoane nominalizate în documentație.
C7 Responsabilitatea, autoritatea și căile de raportare trebuie definite pentru toți membrii entității evaluatoare implicați în activitățile pentru care se solicită acreditarea.
C8 Conducerea entității evaluatoare trebuie să desemneze persoanele responsabile cu întocmirea și semnarea rapoartelor aferente activităților pentru care se solicită acreditarea.
C9 Toate detaliile comerciale privind activitățile pentru care se solicită acreditarea trebuie să fie stabilite prin contract între entitatea evaluatoare sau persoana juridică din care face parte, beneficiarul serviciilor prestate de entitatea evaluatoare și, în anumite cazuri, subcontractori.
A.3. Sistemul de asigurare a calității
C10 Entitatea evaluatoare trebuie să opereze și să mențină un sistem de calitate adecvat pentru activitatea pentru care se solicită acreditarea. Deținerea unei certificări a calității emise de o autoritate de certificare autorizată reprezintă un element în favoarea acordării certificatului de acreditare.
C11 Entitatea evaluatoare trebuie să dezvolte și să aplice proceduri și instrucțiuni, pentru a asigura calitatea activităților pentru care se solicită acreditarea. Personalul trebuie să aibă acces la această documentație, să o studieze, să o înțeleagă și să o implementeze. Toți membrii implicați în activități pentru care se solicită acreditarea trebuie să cunoască sistemul de asigurare a calității implementat în cadrul entității evaluatoare.
C12 Obiectivele sistemului de asigurare a calității trebuie să fie definite într-o politică de calitate (Manualul calității). Manualul calității trebuie să includă un angajament al conducerii entității evaluatoare privind asigurarea unei practici profesionale bune și a unei calități superioare a activităților pentru care se solicită acreditarea. De asemenea, trebuie să includă obiectivele sistemului de calitate și obligația ca personalul entității evaluatoare să cunoască documentația și să aplice procedurile. Manualul calității trebuie, de asemenea, să conțină angajamentul conducerii de a respecta criteriile de acreditare.
C13 Manualul calității trebuie să stabilească structura documentației legate de sistemul de asigurare a calității și trebuie să conțină sau să facă referire la procedurile implementate în cadrul entității evaluatoare (incluzând procedurile tehnice).
C14 Manualul calității trebuie să stabilească rolurile și responsabilitățile personalului de conducere și ale celui din poziții cheie pentru activitățile pentru care se solicită acreditarea.
C15 Entitatea evaluatoare trebuie să definească procedurile necesare administrării tuturor documentelor referitoare la sistemul de asigurare a calității, cum sunt regulamentele, standardele, metodele de evaluare și alte documente aferente (instrucțiuni, manuale etc.). În special trebuie definite procedurile referitoare la modificări, aprobări și circuitul documentelor.
A.4. Cerințe de securitate
C16 Entitatea evaluatoare trebuie să definească o politică de securitate, specificând metodele și condițiile referitoare la protecția informațiilor clasificate aflate în posesia sa. Politica de securitate trebuie aprobată de Oficiul Registrului Național al Informațiilor Secrete de Stat (ORNISS), iar implementarea sa este responsabilitatea funcționarului de securitate/structurii de securitate. Toate persoanele participante la activitățile pentru care se solicită acreditarea trebuie să cunoască și să respecte această politică.
A.4.1. Proceduri de securitate
C17 Politica de securitate trebuie să definească:
- obiectivele securității;
● structura desemnată cu realizarea acestor obiective;
● procedurile de securitate pentru:
- protecția/securitatea locației;
- securitatea personalului;
- conștientizarea personalului implicat în activitățile pentru care se solicită acreditarea;
- protecția informațiilor legate de activitățile pentru care se solicită acreditarea;
- controlul accesului la informații;
- protecția arhivelor și a comunicațiilor;
- accesul vizitatorilor în entitatea evaluatoare.
Lista nu este exhaustivă, fiind prezentată cu titlu exemplificativ;
● prevederile referitoare la situațiile anormale identificate în aplicarea politicii și acțiunile corective ce se impun în aceste situații.
C18 Politica de securitate trebuie să prevadă managementul informațiilor clasificate, indiferent de formatul acestora (hârtie, electronic).
A.4.2. Securitatea personalului
C19 Dacă în cursul activităților pe care le desfășoară personalul entității evaluatoare trebuie să aibă acces la informații clasificate, acesta trebuie să dețină certificat de securitate, conform prevederilor legislației naționale în domeniul protecției informațiilor clasificate secret de stat.
C20 Personalul implicat în activitățile pentru care se solicită acreditarea trebuie să semneze un angajament din care să reiasă că a luat cunoștință de și se angajează să aplice prevederile legislației naționale în domeniul protecției informațiilor clasificate secret de stat și procedurile de securitate aplicabile în entitatea evaluatoare.
C21 Personalul trebuie să fie instruit să aplice procedurile de securitate stabilite prin politica de securitate.
A.4.3. Securitatea informațiilor
C22 Entitatea evaluatoare trebuie să dezvolte și să aplice proceduri prin care să asigure protecția informațiilor vehiculate în cursul activităților pentru care se solicită acreditarea. Aceste proceduri trebuie să includă următoarele, dar să nu se limiteze la acestea:
● securitatea conturilor de utilizatori (securitatea intrărilor în sistem, proceduri de autentificare, parole etc.);
● separarea accesului la date (separarea datelor aferente activităților acreditate de cele aferente altor activități, separarea datelor provenite de la diferite activități acreditate, protejarea datelor transmise în afara entității evaluatoare, inclusiv prin mecanisme criptografice etc.);
● securitatea comunicațiilor dintre entitatea evaluatoare și partenerii săi (beneficiari, subcontractanți), dacă este cazul, sau dintre angajații entității evaluatoare, atunci când aceștia transmit informații clasificate prin intermediul unor rețele nesecurizate;
● protecția datelor (arhivare, copii de siguranță, refacerea datelor etc.).
C23 Toți membrii entității evaluatoare trebuie să asigure protecția informațiilor referitoare la contract, la client și la activitățile pentru care se solicită acreditarea.
C24 Entitatea evaluatoare trebuie să asigure protecția informațiilor clasificate, cu respectarea principiului "nevoii de a cunoaște".
A.5. Subcontractarea
C25 Subcontractarea unor procese aferente activităților pentru care se solicită acreditarea trebuie să se realizeze numai în situații de excepție și trebuie notificată la ORNISS.
C26 Dacă subcontractarea este necesară, aceasta se va realiza numai cu entități acreditate de ORNISS. Dacă subcontractantul nu este o entitate evaluatoare acreditată, trebuie ca activitățile subcontractate să nu presupună acces la informații clasificate.
B. Locațiile și echipamentul entității evaluatoare
B.1. Locațiile și mediul
C27 Entitatea evaluatoare trebuie să dețină locații tehnice speciale pentru activitățile pentru care solicită acreditarea (birouri, platforme pentru testări, săli de ședințe etc.).
C28 Măsurile de securitate fizică și controalele de mediu implementate trebuie să fie în concordanță cu activitățile pentru care se solicită acreditarea.
B.2. Instrumente și echipamente
C29 Toate echipamentele necesare desfășurării activităților pentru care se solicită acreditarea trebuie să fie disponibile în cadrul entității evaluatoare. Entitatea evaluatoare trebuie să aibă suficiente resurse pentru desfășurarea activității solicitate.
C30 Dacă, în mod excepțional, entitatea evaluatoare trebuie să utilizeze echipamente din afara persoanei juridice, trebuie să demonstreze faptul că echipamentele utilizate oferă calitatea și măsurile de securitate necesare. Personalul entității evaluatoare trebuie să fie calificat pentru utilizarea echipamentelor. În plus, trebuie să se definească clar, în proceduri, măsurile de protecție a informațiilor clasificate procesate de echipamente.
C31 Toate instrumentele utilizate în activitățile pentru care se solicită acreditarea trebuie să fie marcate și înregistrate (de exemplu, un cod unic).
Trebuie implementat un management al configurației și amplasării echipamentelor.
Sistemul de management al configurației trebuie să permită auditarea schimbărilor aduse instrumentelor.
Fiecare echipament sau produs software ce poate influența activitățile pentru care se solicită acreditarea trebuie înregistrat.
Trebuie să se asigure repetabilitatea și reproductibilitatea rezultatelor evaluării.
C32 Echipamentele pot fi utilizate numai de către personalul autorizat. Accesul la instrumentele evaluatoare trebuie să fie controlat. Operarea și administrarea instrumentelor trebuie să se execute conform unor instrucțiuni cunoscute de către personalul autorizat.
C. Pregătirea personalului în domeniul tehnic
C33 Entitatea evaluatoare trebuie să aibă personal cu experiența necesară pentru desfășurarea activităților pentru care se solicită acreditarea.
Personalul angajat
C34 Personalul entității evaluatoare trebuie să aibă competența și experiența necesare în domeniul tehnologiei informației și în cel al evaluării produselor și/sau soluțiilor de securitate IT.
C35 Entitatea evaluatoare are responsabilitatea de a asigura instruirea angajaților desemnați să utilizeze instrumente specifice, să îndeplinească activități pentru care se solicită acreditarea și să semneze rapoartele de evaluare. Angajații aflați în perioada de instruire trebuie supravegheați de personal cu experiență.
C36 Procedura de recrutare a personalului entității evaluatoare trebuie să reflecte responsabilitățile ce revin entității evaluatoare ca urmare a acreditării. Procedura va include o verificare a candidaților, pentru a se asigura faptul că întrunesc criteriile de acreditare.
C37 Fiecare angajat al entității evaluatoare trebuie înștiințat în legătură cu responsabilitățile sale. Acest lucru implică o definire a tuturor responsabilităților legate de activitățile pentru care se solicită acreditarea.
C38 Entitatea evaluatoare trebuie să precizeze obiectivele programelor de instruire și perfecționare a angajaților săi. Pentru identificarea nevoilor de instructaj și pentru realizarea unui program de instruire coerent, trebuie elaborate și aplicate proceduri specifice. Sesiunile de perfecționare trebuie legate de activitățile pentru care se solicită acreditarea.
NOTĂ:
Programul trebuie să includă o instruire în ceea ce privește criteriile de evaluare și tehnologiile asociate.
C39 Entitatea evaluatoare trebuie să păstreze actualizate fișele posturilor pentru personalul de conducere, personalul tehnic și cei cu posturi cheie ce participă la activitățile pentru care se solicită acreditarea.
NOTĂ:
ORNISS trebuie informat de activitatea personalului entității evaluatoare, pentru a se asigura că asemenea activitate este compatibilă cu domeniul acreditării.
C40 Entitatea evaluatoare trebuie să ia măsuri cu privire la schimbarea personalului.
Este importantă evitarea încheierii unui număr prea mare de contracte pe termen scurt și a angajării persoanelor fără experiență în domeniu.
C41 Activitatea de bază a angajaților entității evaluatoare trebuie să fie cea de evaluare a produselor și soluțiilor de securitate IT, servicii de consultanță sau instructaje de securitate. Angajații entității evaluatoare pot fi implicați în alte activități decât cele menționate anterior, pe perioade limitate, dar activitatea lor trebuie să fie compatibilă cu activitatea pentru care se solicită acreditarea.
D. Metode și proceduri de lucru
D.1 Metode
C42 Entitatea evaluatoare trebuie să dețină o metodologie pentru fiecare activitate inclusă în aria de acoperire a acreditării. Metodologia trebuie să fie cuprinsă într-un standard internațional sau național.
C43 Entitatea evaluatoare poate dezvolta metode proprii, dacă nu există alte metode sau dacă nu a fost adaptată o metodă generală. Cercetarea metodelor trebuie să fie o activitate planificată și va fi realizată de personal calificat și care dispune de resurse adecvate.
C44 Entitatea evaluatoare trebuie să aprobe la nivel intern metodele de evaluare (incluzând testarea și atacurile) ce au fost cercetate, în scopul confirmării faptului că sunt indicate pentru utilizarea cerută. Aprobarea se realizează cu ajutorul proiectelor-pilot.
C45 Trebuie întocmită o documentație completă pentru toate metodele, procedurile sau instrucțiunile utilizate pentru desfășurarea activităților pentru care se solicită acreditarea.
C46 Pe parcursul desfășurării activităților pentru care se solicită acreditarea, entitatea evaluatoare trebuie să respecte metodele aprobate.
D.2 Registre
C47 Toate registrele ce conțin date referitoare la activitățile pentru care se solicită acreditarea (observații, date etc.) trebuie păstrate. Aceste registre trebuie să conțină suficiente informații pentru a permite repetarea activităților la parametrii cât mai apropiați de original. De asemenea, în registru trebuie să se specifice și persoana care a realizat activitatea.
D.3 Rapoarte de evaluare
C48 Toate rapoartele de evaluare trebuie aprobate în cadrul entității evaluatoare, înainte de a fi oferite solicitanților.
C49 Toate rapoartele evaluărilor, inclusiv rapoartele transmise în format electronic, înaintate solicitanților și ORNISS, trebuie semnate de o persoană autorizată (conform criteriului 8).
C50 Rapoartele de evaluare trebuie păstrate de entitatea evaluatoare pe o perioadă de minimum 10 ani.
Anexa 2 la metodologia de acreditare
EXEMPLE DE TIPURI DE PROCEDURI
A. Proceduri privind managementul activității entității evaluatoare
a) Organizare
1.
Proceduri prin care să se evite influențarea reciprocă, în mod negativ,
a departamentelor aflate în posibile conflicte de interese (producție,
marketing, financiar)
2.
Politici și proceduri pentru evitarea implicării entității evaluatoare în
activități care pot diminua încrederea în competența, imparțialitatea,
analiza sau integritatea sa operațională
3.
Politici și proceduri care să asigure:
- protecția informațiilor confidențiale despre clienți
- protecția drepturilor de proprietate ale clienților
- protecția mijloacelor electronice de stocare, procesare și de
transmitere a informațiilor
4.
Proceduri privind supravegherea corespunzătoare a personalului care
efectuează testările, analiza rezultatelor și evaluările
b) Sistemul calității
1.
Documente privind politicile, sistemele, programele, procedurile și
instrucțiunile pentru asigurarea calității rezultatelor evaluării
2.
Politica de calitate
3.
Proceduri aferente activității de evaluare sau care pot influența aceste
activități
c) Managementul documentelor referitoare la sistemul de calitate
1.
Proceduri pentru managementul tuturor documentelor, elaborate pe plan
intern sau obținute din surse externe, cum ar fi: reglementări,
standarde, alte acte normative, metode de testare, precum și schițe,
software, specificații, instrucțiuni, manuale etc.
2.
Proceduri pentru controlul documentelor, care să stabilească modul de
luare în evidență, modul de operare a modificărilor, situația revizuirii,
distribuirea documentelor, managementul documentelor nule
d) Analiza solicitărilor, propunerilor și contractelor
1.
Proceduri pentru analiza solicitărilor, propunerilor și contractelor
e) Subcontractarea unor activități aferente procesului de testare
1.
Proceduri de subcontractare a unor activități aferente procesului de
testare și evaluare
f) Achiziționarea serviciilor și resurselor
1.
Proceduri pentru selectarea și achiziția serviciilor și resurselor pe
care le utilizează și care pot influența calitatea evaluărilor
2.
Proceduri pentru achiziționarea, primirea și stocarea unor produse și a
unor materiale consumabile relevante pentru activitățile de evaluare
3.
Proceduri care să asigure că resursele materiale achiziționate, care
influențează calitatea evaluărilor nu sunt utilizate decât după ce au
fost inspectate sau verificate pentru a se determina dacă sunt în
conformitate cu specificațiile ori cu cerințele standard definite în
metodele pentru evaluările implicate
g) Servicii oferite clienților
1
Proceduri privind colaborarea cu clienții sau cu reprezentanții lor
h) Reclamații
1.
Proceduri pentru soluționarea reclamațiilor primite din partea clienților
sau a altor părți
i) Controlul efectuat în cazul în care activitatea de evaluare este necorespunzătoare
1.
Proceduri privind managementul activităților neconforme, a unor
potențiale probleme în sistemul de calitate sau în activitățile de
evaluare
j) Măsuri corective
1
Proceduri pentru implementarea măsurilor corective
k) Măsuri de prevenire
1.
Planuri de măsuri pentru reducerea posibilității de apariție a unor
neconformități
2.
Proceduri de control al eficienței măsurilor de prevenire
l) Controlul înregistrărilor
1.
Proceduri pentru identificarea, colectarea, indexarea, accesarea,
îndosarierea, stocarea, întreținerea și dispunerea înregistrărilor
(certificatelor) tehnice și a celor privind calitatea
2.
Proceduri pentru protecția și refacerea înregistrărilor stocate în format
electronic și pentru prevenirea accesului sau modificării neautorizate a
acestor înregistrări
m) Audit intern
1.
Proceduri privind efectuarea periodică a unui audit intern al entității
evaluatoare
n) Analizele efectuate de conducere
1.
Proceduri privind efectuarea periodică, de către conducerea executivă a
entității evaluatoare, a unei analize a sistemului de calitate
implementat în cadrul entității evaluatoare și a activităților de
evaluare
B. Cerințe tehnice privind acreditarea
a) Personalul
1.
Proceduri privind asigurarea instruirii personalului care utilizează
echipamentul specific, efectuează evaluări, evaluează rezultatele și
semnează rapoartele de testare și certificatele de evaluare
2.
Proceduri prin care să se asigure o supraveghere adecvată a personalului
în curs de pregătire
3.
Proceduri de actualizare a fișelor de post pentru personalul de
conducere, tehnic și personalul-cheie suplimentar implicat în efectuarea
de evaluări
b) Condițiile de mediu și cele referitoare la amplasare
1.
Proceduri de monitorizare, control și înregistrare a condițiilor de
mediu, în situația în care acestea influențează calitatea rezultatelor
2.
Proceduri pentru oprirea activităților de evaluare atunci când condițiile
de mediu pot periclita rezultatele acestora
3.
Proceduri de control al accesului și al utilizării zonelor în care poate
fi afectată calitatea evaluării
c) Metodele de evaluare și validarea acestor metode
1.
Proceduri și metode corespunzătoare pentru evaluările din sfera de
activitate a entității evaluatoare
2.
Instrucțiuni privind utilizarea și operarea echipamentelor relevante,
precum și mânuirea și pregătirea elementelor în vederea evaluării
3.
Proceduri de verificare a faptului că entitatea evaluatoare are
capacitatea de a utiliza corespunzător metodele standard, înainte de a
realiza evaluările
4.
Proceduri de introducere a unor metode de evaluare proprii
5.
Proceduri de validare a metodelor dezvoltate de entitatea evaluatoare
înainte de a fi utilizate
6.
Proceduri de estimare a gradului de incertitudine al măsurătorilor pentru
toate evaluările realizate de entitatea evaluatoare
7.
Proceduri pentru validarea configurației/modificărilor aplicațiilor
software ale entității evaluatoare
d) Echipamentul
1.
Procedură de marcare și înregistrare a fiecărui echipament și a fiecărei
aplicații software utilizate pentru evaluare și care sunt relevante
pentru rezultatul acestui proces
2.
Proceduri privind înregistrarea fiecărui echipament și fiecărei aplicații
software relevante pentru evaluările efectuate
3.
Proceduri pentru
- mânuirea,
- transportul,
- stocarea,
- utilizarea,
- întreținerea
planificată a echipamentului, pentru a se asigura funcționarea corectă
și pentru a se preveni deteriorarea acestuia
4.
Proceduri suplimentare pentru cazul în care echipamentul de măsură este
utilizat pentru evaluări în afara locației permanente
5.
Proceduri conform cărora echipamentele care au fost supuse unei supra-
solicitări sau care au fost mânuite necorespunzător, care au dat
rezultate suspecte, sunt defecte ori ai căror parametrii de funcționare
sunt în afara limitelor specifice, să fie scoase din uz
6.
Proceduri conform cărora, atunci când, din diferite motive, echipamentul
iese în afara locației permanente a entității evaluatoare, aceasta să
verifice funcționarea și parametrii de funcționare, înainte ca acesta să
fie repus în funcțiune
7.
Proceduri privind efectuarea verificărilor intermediare, atunci când sunt
necesare, pentru a se păstra încrederea în parametrii de funcționare ai
echipamentului
8.
Proceduri privind actualizarea copiilor (de exemplu, a aplicațiilor
software) în cazul în care evaluările ulterioare introduc factori
corectori
e) Trasabilitatea (urmărirea traseului) măsurătorii
1.
Proceduri pentru etalonarea echipamentelor utilizate în activitatea
pentru care se solicită acreditarea
2.
Proceduri pentru
- selectarea,
- utilizarea,
- etalonarea,
- verificarea,
- controlul,
- menținerea
standardelor de măsurare și a echipamentelor de măsurare și testare
utilizate pentru efectuarea evaluărilor
f) Stocarea de eșantioane
1.
Proceduri pentru stocarea de eșantioane necesare evaluării
2.
Proceduri pentru înregistrarea datelor și operațiilor relevante legate de
stocarea de eșantioane
g) Gestionarea elementelor supuse evaluării
1.
Proceduri pentru
- transportul,
- primirea,
- înregistrarea și marcarea,
- mânuirea,
- protecția,
- stocarea,
- păstrarea
elementelor supuse evaluării, pentru protecția integrității acestora și
pentru a proteja interesele entității evaluatoare și ale solicitanților
2.
Proceduri pentru evitarea deteriorării, pierderii sau degradării
elementului supus evaluării, pe perioada în care acesta se află în
responsabilitatea entității evaluatoare
h) Asigurarea calității rezultatelor evaluării
1.
Proceduri privind controlul calității prin monitorizarea evaluărilor
efectuate
2.
Proceduri de înregistrare a datelor rezultate, care să permită detectarea
tendințelor
3.
Proceduri de evaluare repetate utilizându-se aceleași metode sau metode
diferite
4.
Proceduri de corelare a rezultatelor, pentru fiecare caracteristică
analizată pentru un element
i) Raportarea rezultatelor
1.
Proceduri de raportare a rezultatelor evaluării
C. Instrucțiuni de lucru specifice pentru fiecare dintre activitățile pentru care se solicită acreditarea
Evaluarea securității pe care o pot asigura produsele și sistemele informatice și de comunicații se realizează în conformitate cu standarde naționale și standarde internaționale recunoscute pe plan național, agreate de statele membre ale NATO și UE.
Anexa 3 la metodologia de acreditare
CONDIȚII
de utilizare a certificatului de acreditare
Pentru a fi acreditat și a menține acest statut, entitatea evaluatoare trebuie să respecte următoarele condiții de utilizare a certificatului de acreditare. Nerespectarea acestor condiții poate avea ca rezultat suspendarea sau anularea acreditării.
a) entitatea evaluatoare trebuie să aibă o politică și o procedură pentru a controla utilizarea certificatului de acreditare;
b) certificatul de acreditare nu trebuie să fie utilizat într-o manieră care să discrediteze Oficiul Registrului Național al Informațiilor Secrete de Stat (ORNISS) sau să denatureze scopul acreditării unei entități evaluatoare;
c) atunci când face referire la certificatul de acreditare, entitatea evaluatoare trebuie să precizeze clar statutul acreditării;
d) în cazul în care rapoartele de testare sau certificatele de evaluare emise de entitatea evaluatoare conțin și date rezultate din activități desfășurate de entitatea evaluatoare, dar care nu intră în sfera acreditării emise de ORNISS, trebuie să se facă o delimitare clară a acestor date;
e) în cazul în care rapoartele de testare sau certificatele de evaluare emise de entitatea evaluatoare conțin și date rezultate din activități desfășurate de subcontractanți, trebuie să se specifice faptul că acreditarea emisă de ORNISS se referă numai la activitățile de testare efectuate de entitatea evaluatoare;
f) atunci când certificatul de acreditare este menționat într-un contract sau într-o propunere de ofertă trebuie să se specifice domeniul acreditării și statutul acesteia.
Anexa 4 la metodologia de acreditare
ACTIVITĂȚI
pentru care este necesară acreditarea de către Oficiul Registrului
Național al Informațiilor Secrete de Stat (ORNISS)
A. SECURITATEA COMPUTERELOR - COMPUSEC
A.1. Audit de securitate pentru rețele IT
- inspectarea on-site a serverelor, a sistemelor și a celorlalte echipamente conectate la rețea, a aplicațiilor care rulează;
- evaluarea sistemelor active și pasive de detecție a intruziunilor;
- interviuri cu specialiștii organizației;
- analize de configurații hardware/software;
- evaluarea politicilor de securitate;
- scanarea vulnerabilităților;
- teste de penetrare.
A.2. Audit de securitate pentru servere
- identificarea și cercetarea vulnerabilităților serverelor prin:
- simularea unui atac exterior asupra serverului, folosind o serie de metodologii de depistare, identificare și documentare a vulnerabilităților;
- examinarea programelor și configurațiilor programelor care rulează pe server și prin evaluarea nivelului de securitate oferit de sistemele de securitate pasive și active disponibile.
A.3. Evaluare produse de securitate IT*1)
__________
*1) Prin produs de securitate IT se înțelege orice element de securitate care se încorporează într-un sistem IT în scopul asigurării sau sporirii confidențialității, integrității sau disponibilității informațiilor vehiculate.
Activitatea de evaluare poate include:
- testare și evaluare aplicații software:
- parcurgerea codului-sursă al aplicației pentru a găsi potențiale breșe de securitate;
- supunerea aplicației la diverse teste de anduranță și fiabilitate, pentru a testa comportamentul acesteia la o utilizare intensivă, incompletă sau incorectă;
- testare și evaluare produse hardware
B. SECURITATEA COMUNICAȚIILOR - COMSEC
B.1. Evaluarea produselor criptografice
Activitatea de evaluare poate include:
- testare și evaluare a nivelului de securitate a produselor criptografice (hardware, software, soluții integrate):
- analiza specificațiilor modulului criptografic;
- analiza posturilor și interfețelor modulului criptografic;
- analiza rolului, serviciilor și a autentificării operatorului;
- testarea securității fizice;
- testarea mediului operațional;
- managementul cheilor criptografice;
- interferențe electromagnetice/compatibilitate electromagnetică.
B.2. Evaluarea soluțiilor pentru infrastructura cu chei publice
Activitatea de evaluare poate include:
- analiza documentației de organizare și funcționare a autorității de certificare;
- testarea și evaluarea măsurilor de securitate fizice, procedurale și de personal;
- testarea și evaluarea măsurilor tehnice de securitate:
- instalarea și generarea perechilor de chei;
- protecția cheii private;
- datele de activare;
- măsuri de securitate aplicabile calculatoarelor;
- periodicitatea controalelor tehnice;
- evaluarea modului de administrare a politicii de certificare.
C. SECURITATEA EMISIILOR - EMSEC
Activitatea de evaluare poate include:
- caracterizarea TEMPEST a echipamentelor;
- măsurători de zonare TEMPEST a locațiilor;
- măsurători pentru caracterizarea camerelor ecranate și/sau incintelor tratate electromagnetic;
- teste de laborator pentru identificarea surselor de emisii compromițătoare în cazul echipamentelor de stocare, prelucrare și transmitere a datelor;
- teste pentru depistarea discontinuităților de ecranare a camerelor ecranate și/sau a incintelor tratate electromagnetic.
D. ADMINISTRAREA SECURITĂȚII
D.1. Managementul riscului de securitate
Activitatea de evaluare poate include:
- analiza riscului de securitate:
- identificarea și evaluarea bunurilor materiale și informaționale supuse riscului;
- identificarea amenințărilor;
- identificarea vulnerabilităților;
- analiza măsurilor de securitate;
- determinarea probabilității de producere a unui eveniment nedorit;
- analiza impactului producerii unui eveniment nedorit;
- determinarea riscurilor și a nivelurilor asociate;
- recomandări privind măsurile de securitate;
- raportul privind analiza riscului;
- propunerea de soluții de reducere a riscului de securitate:
- ierarhizarea acțiunilor;
- evaluarea măsurilor de securitate recomandate;
- analiza cost-beneficiu;
- selectarea măsurilor de securitate;
- atribuirea responsabilităților;
- elaborarea Planului de implementare a măsurilor de securitate selectate;
- implementarea măsurilor de securitate selectate și identificarea riscului rezidual.
D.2. Planificarea măsurilor pentru continuarea activității în situații de urgență
Activitatea de evaluare poate include:
- consultanță privind elaborarea Planului pentru continuarea activității în situații de urgență;
- reintegrarea procedurilor, aplicațiilor, operațiunilor, sistemelor, rețelelor și facilităților pentru continuarea activității.
Anexa 5 la metodologia de acreditare
BIBLIOGRAFIE
1.
Hotărârea Guvernului nr. 353/2002
pentru aprobarea Normelor privind protecția informațiilor clasificate ale Organizației Tratatului Atlanticului de Nord în România, publicată în Monitorul Oficial al României, Partea I, nr. 315 din 13 mai 2002, cu modificările ulterioare
2.
Hotărârea Guvernului nr. 585/2002
pentru aprobarea Standardelor naționale de protecție a informațiilor clasificate în România, publicată în Monitorul Oficial al României Partea I, nr. 485 din 5 iulie 2002, cu modificările și completările ulterioare
3. Directiva principală privind domeniul INFOSEC - INFOSEC 2, aprobată prin
Ordinul directorului general al Oficiului Registrului Național al Informațiilor Secrete de Stat nr. 483/2003 , publicat în Monitorul Oficial al României, Partea I, nr. 874 din 9 decembrie 2003
4. Directiva privind managementul INFOSEC pentru sisteme informatice și de comunicații - INFOSEC 3, aprobată prin
Ordinul directorului general al Oficiului Registrului Național al Informațiilor Secrete de Stat nr. 484/2003 , publicată în Monitorul Oficial al României, Partea I, nr. 874 din 9 decembrie 2003
5. AGR/P/01.1/2004 - Licensing of Evaluation Facilities, Secretariat general de la defense naționale, Direction centrale de la securite des systemes d'information, France
6. SP 004 - Licensing of Evaluation Facilities, Swedish Certification Body for IT Security, November 2011
7. NIST Handbook 150, Național Voluntary Laboratory Accreditation Program - Procedures and General Requirements, V. R. White, D. F. Alderman, and C. D. Faison, 2006
_________
Textul este prelucrat automat din sursa indicată; numerotarea și legăturile pot conține erori. Referințele subliniate duc la actele citate, așa cum au fost identificate de noi.