Metodologia din 28 martie 2012
de evaluare și certificare a pachetelor, produselor și profilelor de protecție INFOSEC-INFOSEC 14
prezumat în vigoare
Capitolul I Introducere
Secțiunea 1 Scop
Articolul 1
Prezenta metodologie stabilește activitățile aferente proceselor de evaluare și certificare a pachetelor, produselor și profilelor de protecție INFOSEC, denumite în continuare produse INFOSEC, destinate protecției informațiilor naționale clasificate, vehiculate în sistemele informatice și de comunicații naționale, civile sau militare.
Articolul 2
Procesele de evaluare și certificare a produselor INFOSEC au următoarele obiective:
a) crearea posibilității de utilizare a unor produse INFOSEC în sisteme informatice și de comunicații care vehiculează informații clasificate;
b) verificarea și confirmarea nivelului de încredere ce poate fi acordat funcțiilor de securitate ale unui produs INFOSEC;
c) stabilirea unei baze de comparație între diferite produse INFOSEC;
d) perfecționarea procedurilor naționale de evaluare a produselor INFOSEC.
Secțiunea 2 Definiții
Articolul 3
În sensul prezentei metodologii, următorii termeni și sintagme se definesc după cum urmează:
a) certificare - emiterea unui document oficial, bazat pe o analiză independentă a unei evaluări și a rezultatelor acestei evaluări, conform căruia produsul evaluat satisface parametrii de securitate predefiniți. Prin certificare se analizează rezultatele evaluării și se stabilește dacă criteriile și metodele de evaluare au fost aplicate în mod corect. Procesul de certificare verifică uniformitatea și corectitudinea procedurilor de evaluare, precum și consecvența și compatibilitatea rezultatelor evaluării;
b) evaluare - examinarea detaliată, din punct de vedere tehnic și funcțional, a produselor INFOSEC, din punct de vedere al securității.Prin procesul de evaluare se verifică cel puțin:
(i) prezența facilităților/funcțiilor de securitate cerute;
(îi) absența efectelor secundare compromițătoare care ar putea decurge din implementarea facilităților de securitate;
(iii) funcționalitatea globală a produsului INFOSEC;
(iv) nivelul de încredere al produsului INFOSEC;
c) imparțialitate - principiu conform căruia nu există factori care pot influența desfășurarea procesului de evaluare și rezultatele acestui proces;
d) nivel de evaluare a asigurării (EAL) - un pachet de componente de asigurare din partea a 3-a a Criteriilor comune, care reprezintă un punct pe scara de asigurare predefinită a Criteriilor comune;
e) obiectivitate - principiu conform căruia rezultatele unor teste de evaluare trebuie să se bazeze pe fapte concrete, nu pe opiniile subiective ale evaluatorului. Obiectivitatea poate fi consolidată, prin supunerea produsului la cel puțin două evaluări realizate de entități independente (reproductibilitate);
f) pachet - un set reutilizabil de componente fie funcționale, fie de asigurare (de exemplu, un EAL), combinate pentru a satisface un set de obiective de securitate identificate;
g) produs - un pachet de software, firmware și/sau hardware IT, care furnizează o funcționalitate destinată utilizării sau incorporării într-o multitudine de sisteme;
h) profil de protecție - un set de cerințe de securitate independent de implementare pentru o categorie de TOE care satisface cerințe specifice ale consumatorilor;
i) repetabilitate - principiu conform căruia repetarea evaluării aceluiași produs, în funcție de aceeași țintă de securitate, de către aceeași entitate evaluatoare conduce la un rezultat similar cu cel obținut ca urmare a primei evaluări a produsului;
j) reproductibilitate - principiu conform căruia repetarea evaluării aceluiași produs, în funcție de aceeași țintă de securitate, de către o altă entitate evaluatoare conduce la un rezultat similar cu cel obținut ca urmare a primei evaluări a produsului;
k) solicitant - persoană juridică de drept public sau privat care solicită evaluarea, certificarea și aprobarea de includere în Catalogul național cu produse, profile și pachete de protecție a unui produs INFOSEC. Solicitantul poate fi și o altă persoană juridică diferită de producător (de exemplu, dezvoltator, utilizator, comerciant, integrator);
l) țintă de evaluare (TOE) - un produs sau sistem IT și documentația aferentă de utilizator și administrator care constituie subiectul unei evaluări;
m) țintă de securitate (ST) - un set de cerințe și specificații de securitate utilizate ca bază pentru evaluarea unei TOE identificate.
Articolul 4
În cuprinsul prezentei metodologii, prin produs criptografic se înțeleg acele produse criptografice care nu fac parte din categoria cifrului de stat.
Articolul 5
În raport cu destinația de utilizare, produsele INFOSEC se împart în două categorii: cu utilizare la nivel național și cu regim limitat de distribuție și utilizare la nivelul Autorităților desemnate de Securitate, denumite în continuare ADS, cu competențe în coordonarea și controlul măsurilor de protecție a informațiilor naționale clasificate ce vor fi protejate cu acestea.
Secțiunea 3 Cadru general
Articolul 6
Oficiul Registrului Național al Informațiilor Secrete de Stat, denumit în continuare ORNISS, este responsabil de coordonarea proceselor de certificare a tuturor produselor INFOSEC destinate utilizării la nivel național, pentru care se solicită includerea în Catalogul național de pachete, produse și profile de protecție INFOSEC, denumit în continuare Catalog național.
Pentru produsele INFOSEC, altele decât cele criptografice:
a) Evaluarea se realizează de către o entitate acreditată de către ORNISS;
b) ORNISS realizează certificarea, pe baza elementelor din Raportul tehnic de evaluare, denumit în continuare RTE, întocmit de entitatea care a realizat evaluarea.
Pentru produsele criptografice:
a) Evaluarea și certificarea se realizează de către două entități evaluatoare aparținând Serviciului de Informații Externe (SIE), Serviciului Român de Informații (SRI) sau Ministerului Apărării Naționale (MApN);
b) ORNISS emite certificatul, pe baza analizei documentelor transmise la ORNISS de către cele două instituții ale căror entități evaluatoare au realizat evaluarea și certificarea; din documente trebuie să reiasă conformitatea produselor cu standardele aplicabile, precum și eventuale condiții și termene de valabilitate a rezultatelor testării, eventuale cerințe/condiții/ instrucțiuni de utilizare.
În situații excepționale, când se apreciază că există o amenințare semnificativă la adresa securității sistemelor informatice și de comunicații naționale, astfel încât există riscul major de prejudiciere în mod deosebit de grav a intereselor naționale, ORNISS poate decide asupra necesității unor evaluări suplimentare a produselor INFOSEC, altele decât cele criptografice.
Articolul 7
Certificarea produselor INFOSEC cu regim limitat de distribuție și utilizare, cu excepția produselor criptografice, se realizează în cadrul ADS, de către structura internă INFOSEC acreditată de ORNISS, cu competențe în coordonarea și controlul măsurilor de protecție a informațiilor naționale clasificate, pe baza RTE realizat de o entitate evaluatoare acreditată de ORNISS.
Aprobarea produselor criptografice cu regim limitat de distribuție și utilizare destinate protecției informațiilor naționale clasificate se realizează în cadrul ADS, de către structura internă INFOSEC acreditată de ORNISS, în urma evaluării și certificării acestora de către două entități evaluatoare aparținând SIE, SRI sau MApN.
În cazul în care în cadrul ADS nu există o structură internă INFOSEC acreditată de ORNISS, certificarea se realizează de către ORNISS.
La nivelul SIE, SRI și MApN utilizarea produselor criptografice destinate protecției informațiilor naționale clasificate și constituirea registrelor de evidență a pachetelor, produselor și profilelor de protecție INFOSEC se stabilesc prin norme proprii.
Capitolul II Descrierea metodologiei de evaluare
Etapa 1 - Demararea procesului de evaluare
Articolul 8
În vederea demarării procesului de evaluare a unui produs INFOSEC destinat utilizării la nivel național, persoanele juridice trebuie să adreseze ORNISS o solicitare scrisă.
Articolul 9
Solicitarea de demarare a procesului de evaluare trebuie să fie însoțită de documentație care să precizeze cel puțin următoarele aspecte:
a) descrierea generală a produsului pentru care se solicită evaluarea;
b) ținta de securitate;
c) clasa și, după caz, nivelul de secretizare pentru care se dorește a fi utilizat produsul;
d) manualul de administrare și utilizare (hârtie/electronic);
e) copii după certificate anterioare, dacă este cazul.
Articolul 10
ORNISS, prin Agenția de Securitate pentru Informatică și Comunicații (ASIC) din cadrul său, analizează solicitarea primită.
Articolul 11
În cazul în care se constată că datele cuprinse în cererea de certificare sau în documentația anexată nu sunt complete, ORNISS informează solicitantul, în vederea furnizării informațiilor adiționale necesare.
Articolul 12
Dacă cererea conține toate datele menționate, se vor întreprinde următoarele demersuri, după caz:
a) În cazul produselor INFOSEC, cu excepția celor criptografice:
(i) ORNISS notifică solicitantul în vederea identificării entității evaluatoare disponibile pentru efectuarea evaluării;
(îi) Solicitantul identifică entitatea evaluatoare și notifică ORNISS cu privire la selectarea acesteia;
(iii) ORNISS transmite către entitatea evaluatoare o adresă de solicitare a activității de evaluare.
b) În cazul produselor criptografice, ORNISS notifică SIE, SRI și MApN, care vor stabili de comun acord asupra celor două entități care vor efectua evaluarea și vor informa ORNISS cu privire la selectarea acestor entități.
c) Notificările transmise de ORNISS către entitățile evaluatoare includ toate datele prevăzute la art. 9.
Articolul 13
După analiza documentației prevăzute la art. 9, în caz de neacceptare a procesului de evaluare, entitatea evaluatoare notifică ORNISS, care va informa solicitantul cu privire la această decizie.
Articolul 14
În cazul în care entitatea/entitățile evaluatoare acceptă să demareze procesul de evaluare, solicitantul pune la dispoziția acesteia/acestora cel puțin următoarele elemente:
a) produsul de evaluat, incluzând:
(i) componentele hardware, software și firmware;
(îi) eventual alte componente necesare realizării infrastructurii de testare;
b) documentație tehnică, care, în funcție de tipul produsului, trebuie să includă cel puțin:
(i) documentație tehnică, proceduri operaționale de securitate;
(îi) descrierea arhitecturii fizice și logice;
(iii) specificații algoritm, cod sursă, mod de lucru, vectori de test, în cazul produselor criptografice;
(iv) descrierea parametrilor critici de securitate;
c) teste proprii, platforme de testare și documentație aferentă, incluzând rezultatele testelor anterioare.
În funcție de tipul informațiilor care trebuie puse la dispoziția entității/entităților evaluatoare, între solicitant și entitatea/entitățile evaluatoare se pot încheia acorduri de confidențialitate, în baza cărora aceste informații sunt transmise.
Articolul 15
Procesul de evaluare se consideră demarat după încheierea unui document de acceptare, de exemplu, contract, acord etc., între solicitant și entitatea/entitățile evaluatoare.
Articolul 16
Evaluatorul întocmește lista cu elementele necesare evaluării și stabilește datele la care acestea trebuie să îi fie puse la dispoziție.
Articolul 17
În cazul în care solicitantul evaluării nu este același cu producătorul produsului supus evaluării, în vederea asigurării protecției unor informații specifice, acestea pot fi puse la dispoziția evaluatorului direct de producător.
Articolul 18
Este important ca obiectivele evaluării să fie clar definite de solicitant, înțelese de evaluator și transmise către toate părțile implicate în procesul de evaluare a produsului. Persoana responsabilă cu coordonarea procesului de evaluare trebuie să verifice că toate persoanele implicate în acest proces cunosc scopul și obiectivele evaluării, precum și responsabilitățile pe care le au în acest proces.
Etapa a 2-a - Desfășurarea procesului de evaluare
1. Elemente generale
Articolul 19
Evaluarea produselor INFOSEC se realizează de către entități evaluatoare acreditate, potrivit reglementărilor în vigoare.
Articolul 20
Procesul de evaluare a produselor INFOSEC se desfășoară pe baza a 3 elemente:
a) criterii;
b) metodologie;
c) modul de derulare a proceselor de evaluare și certificare de securitate.
Criteriile reprezintă normele și principiile față de care poate fi măsurată securitatea unui produs INFOSEC, în vederea evaluării, dezvoltării și achiziției, iar metodologia stabilește modul în care trebuie realizată evaluarea, în baza criteriilor.
Articolul 21
Evaluarea securității pe care o pot asigura produsele INFOSEC se realizează în conformitate cu standarde naționale sau standarde internaționale recunoscute pe plan național, agreate de statele membre ale NATO sau UE.
2. Obiectivele evaluării
Articolul 22
Obiectivul principal al procesului de evaluare de securitate constă în verificarea faptului că funcțiile de securitate ale produsului sunt conforme cu ținta de securitate.
Articolul 23
Procesul de evaluare de securitate asigură un anumit nivel de încredere în faptul că produsul nu prezintă vulnerabilități care pot fi exploatate.
Articolul 24
În contextul evaluării și certificării produselor INFOSEC trebuie acordată o atenție deosebită principiilor repetabilității, reproductibilității, imparțialității și obiectivității.
Articolul 25
Respectarea acestor 4 principii trebuie să fie verificată de ORNISS în cursul procesului de certificare.
3. Întocmirea planului de activități privind evaluarea
Articolul 26
Pentru a descrie structura unui proces de evaluare, precum și conexiunile dintre diferitele activități aferente procesului, evaluatorul trebuie să întocmească un plan de activități privind evaluarea, denumit în continuare PAE.
Articolul 27
PAE trebuie să descrie modul în care sunt organizate activitățile legate de procesul de evaluare și interrelaționarea acestor activități.
Articolul 28
PAE trebuie întocmit astfel încât să fie aplicabil atât pentru evaluarea unei game de produse, cât și pentru diferite niveluri ale evaluării.
Articolul 29
Acest document oferă o prezentare generală asupra modului în care trebuie realizată evaluarea, în conformitate cu criterii și metodologii de evaluare specifice.
4. Desfășurarea evaluării
Articolul 30
Activitatea entității evaluatoare trebuie să fie conformă cu cerințele standardelor de calitate și cu criteriile stabilite în Metodologia de acreditare a entităților pentru evaluarea produselor de securitate IT și a sistemelor informatice și de comunicații - INFOSEC 12.
Articolul 31
Procesul de evaluare trebuie să includă cel puțin următoarele activități:
a) verificarea faptului că elementele necesare evaluării sunt conforme cu cerințele criteriilor de evaluare;
b) verificarea faptului că cerințele de securitate specificate în ținta de securitate sunt implementate în mod adecvat;
c) verificarea faptului că produsul operațional nu prezintă vulnerabilități exploatabile.
Articolul 32
Prezenta metodologie stabilește cadrul general al activităților legate de procesul de evaluare și certificare, iar la implementarea sa trebuie ținut cont de faptul că pentru fiecare produs specific pot fi necesare diferite activități și niveluri de evaluare.
Articolul 33
Anexa nr. 1 prezintă o listă exemplificativă cu activități aferente procesului de evaluare.
Articolul 34
Observațiile și rezultatele fiecărei activități din procesul de evaluare trebuie consemnate într-un RTE.
Articolul 35
Pe toată durata procesului de evaluare oricare dintre părțile implicate poate solicita organizarea unor ședințe de lucru sau informații suplimentare, pentru clarificarea aspectelor de natură tehnică.
Articolul 36
În situația în care unele activități aferente procesului de evaluare impun efectuarea unor teste la sediul solicitantului sau dezvoltatorului, producătorului sau utilizatorului produsului, acestea trebuie să se realizeze în baza unor înțelegeri scrise între părțile implicate și, în cazul unor testări care presupun acces la informații clasificate secret de stat, notificarea prealabilă a ORNISS.
Articolul 37
În cazul în care ORNISS consideră necesar, poate participa la testele efectuate la sediul solicitantului sau dezvoltatorului.
Articolul 38
În cazul în care evaluarea este întreruptă din diferite cauze, de exemplu rezilierea contractului/încetarea acordului, entitatea evaluatoare trebuie să notifice ORNISS cu privire la acest lucru.
Etapa a 3-a - Finalizarea procesului de evaluare
Întocmirea RTE
Articolul 39
La finalul activităților de evaluare, evaluatorul are obligația să întocmească un RTE.
Articolul 40
RTE are următoarea structură:
a) descrierea activităților desfășurate în procesul de evaluare;
b) prezentarea rezultatelor obținute și a concluziilor rezultate din activitățile desfășurate.
Articolul 41
Entitatea evaluatoare transmite către solicitantul evaluării elemente din RTE, cu respectarea principiului necesității de a cunoaște.
Articolul 42
În cazul în care dezvoltatorul produsului nu este totodată și solicitantul evaluării, există posibilitatea transmiterii anumitor părți din RTE către dezvoltator, dar numai cu acordul solicitantului evaluării.
Articolul 43
Anexa nr. 2 prezintă un model de RTE, detaliind conținutul fiecărui capitol și al fiecărei secțiuni.
Articolul 44
În vederea certificării produselor INFOSEC, altele decât cele criptografice, entitatea evaluatoare transmite la ORNISS un document de sinteză a RTE, care să cuprindă cel puțin următoarele elemente:
a) denumirea și descrierea caracteristicilor funcționale și de securitate ale produsului evaluat;
b) configurația și condițiile în care a fost testat produsul;
c) standardele și metodologiile în conformitate cu care s-a realizat testarea și evaluarea produsului;
d) testele realizate și rezultatele acestora;
e) concluziile finale ale procesului de evaluare;
f) condiții și termene de valabilitate a rezultatelor testării, eventuale cerințe/condiții/instrucțiuni de utilizare a produsului, astfel încât să se asigure păstrarea caracteristicilor de securitate și funcționale;
g) numărul RTE întocmit.
Pentru clarificarea unor aspecte specifice, ORNISS poate solicita entității evaluatoare să îi pună la dispoziție o copie a RTE.
În cazul produselor criptografice, cele două entități care au realizat evaluarea și certificarea transmit la ORNISS documente din care să reiasă conformitatea produselor cu standardele aplicabile, precum și eventuale condiții și termene de valabilitate a rezultatelor testării, eventuale cerințe/condiții/instrucțiuni de utilizare, astfel încât să se asigure păstrarea caracteristicilor de securitate și funcționale.
Capitolul III Descrierea metodologiei de certificare
Secțiunea 1 Demararea procesului de certificare
Articolul 45
Principalul obiectiv al certificării este acela de a furniza o confirmare independentă a faptului că procesul de evaluare a fost realizat în mod corect, în conformitate cu criteriile, procedurile și metodologiile recunoscute și rezultatele evaluării sunt conforme cu elementele constatate. Totodată, certificarea are rolul de a crea un climat de încredere și de a confirma faptul că entitățile evaluatoare operează în conformitate cu aceleași standarde și că rezultatele obținute de oricare dintre entitățile evaluatoare sunt demne de încredere în egală măsură.
Articolul 46
Încrederea trebuie să aibă la bază respectarea principiilor imparțialității, obiectivității, repetabilității și reproductibilității.
Articolul 47
O descriere schematică a procesului de certificare este prezentată în schema de mai jos. Schema procesului de certificare a produselor INFOSEC utilizate în SIC care vehiculează informații naționale clasificate ┌────────────────────────────────┐ │ Solicitare adresată ORNISS │ │ privind certificarea, anexând │ Solicitant │ concluziile primite de la │ │entitatea/entitățile evaluatoare│ └──────────────┬─────────────────┘ Solicitant │ │ ┌─────────────────┐ │◄─────────────────┤Furnizare de date│ │ │ suplimentare │ │ └─────────────────┘ ▼ ▲ ┌───────────────────┐ │ ORNISS │Analiza solicitării│ │ └─────────┬─────────┘ │ │ │ ▼ │ . │ . . │ . . │ . . │ . . │ . . │ . Condiții . │ . de . NU ┌─────┴──────┐ . certificare .────────────►│ Informare │ . îndeplinite . │ solicitant │ . . └────────────┘ . . ORNISS . . . . . . . . . │DA │ ┌──────────┴─────────────┐ ORNISS │Întocmirea Raportului de│ │ certificare │ └──────────┬─────────────┘ │ ┌──────────┴─────────────┐ ORNISS │Emiterea certificatului │ │ de conformitate │ └──────────┬─────────────┘ │ ▼ ┌────────────────────────┐ ORNISS │Includerea produsului în│ │ Catalogul național │ └────────────────────────┘
Articolul 48
Demararea procesului de certificare se realizează printr-o solicitare adresată ORNISS de către solicitant.
Solicitarea trebuie să fie însoțită de concluziile formulate de entitatea/entitățile evaluatoare în urma procesului de testare-evaluare a produsului.
În cazul în care documentația nu este completă, ORNISS notifică solicitantul, specificând elementele care trebuie completate.
Articolul 49
În cadrul etapei de certificare de securitate, ORNISS, prin ASIC realizează o analiză independentă a rezultatelor obținute în urma etapei de evaluare, precum și a modalității în care s-a desfășurat această activitate.
Articolul 50
Procesul de certificare trebuie să analizeze următoarele aspecte:
a) criteriile, metodologiile și procedurile de lucru utilizate în procesul de evaluare;
b) resursele folosite în cadrul evaluării de securitate, de exemplu echipamente, documentație, timp etc.;
c) personalul care a realizat evaluarea de securitate, de exemplu calificare, obiectivitate, imparțialitate etc.;
d) rezultatele testelor de evaluare;
e) RTE sau elemente din acesta, după caz.
Secțiunea 2 Întocmirea Raportului de certificare
Articolul 51
Rezultatele activității de certificare trebuie să facă obiectul unui raport de certificare.
Articolul 52
Raportul de certificare trebuie să identifice în mod clar produsul și să conțină recomandări cu privire la decizia privind certificarea produsului evaluat.
Articolul 53
Dacă în urma analizei documentației pusă la dispoziție în vederea certificării se constată că, atât rezultatele obținute în urma activității de evaluare, cât și modalitatea în care aceasta s-a realizat sunt conforme standardelor și normelor în vigoare, precum și faptul că produsul îndeplinește cerințele de securitate conform țintei de securitate, Raportul de certificare include propuneri privind certificarea produsului.
Articolul 54
În cazul în care, în urma analizei, se constată deficiențe în procesul de evaluare a produsului, atunci ORNISS notifică entitatea evaluatoare, în vederea remedierii acestor deficiențe.
Articolul 55
Pentru desfășurarea corespunzătoare a etapei de certificare, ORNISS, prin ASIC, poate solicita entității evaluatoare alte documente cu relevanță pentru această activitate.
Articolul 56
Raportul de certificare va fi elaborat în termen de maximum 30 de zile de la primirea documentului de sinteză emis de entitatea/entitățile evaluatoare pe baza RTE sau, după caz, a ultimului document solicitat de ASIC entității evaluatoare.
Articolul 57
Anexa nr. 3 prezintă un set minim de elemente ale Raportului de certificare.
Secțiunea 3 Luarea deciziei privind certificarea produsului
Articolul 58
După parcurgerea activităților necesare luării unei decizii privind certificarea unui produs, se desprind două variante posibile:
a) certificarea produsului și emiterea Certificatului de conformitate și aprobarea includerii în Catalogul național;
b) refuzul certificării - decizie datorată identificării unor deficiențe grave referitoare la atingerea de către produs a parametrilor de securitate predefiniți.
Articolul 59
Certificatul de conformitate emis de directorul general al ORNISS confirmă faptul că produsul îndeplinește standardele de securitate în baza cărora a fost evaluat, pentru ținta de securitate propusă.
Articolul 60
Produsele certificate vor fi incluse în Catalogul național, cu ocazia următoarei actualizări a acestuia, în conformitate cu prevederile Directivei INFOSEC privind Catalogul național cu pachete, produse și profile de protecție INFOSEC-INFOSEC 5.
Articolul 61
Anexa nr. 4 cuprinde o bibliografie a unor acte normative și documente cu relevanță în domeniu.
Articolul 62
Anexele nr. 1-4 fac parte integrantă din prezenta metodologie.
Anexa 1 la metodologie
Exemple de activități
aferente procesului de evaluare
1. Prezentăm în continuare o listă exemplificativă cu activități aferente procesului de evaluare:
a) verificarea analizei de conformitate;
b) verificarea analizei caracterului unitar;
c) examinarea eficienței mecanismelor de asigurare a securității;
d) examinarea vulnerabilităților constructive;
e) examinarea ușurinței de utilizare;
f) examinarea vulnerabilităților operaționale;
g) verificarea cerințelor;
h) verificarea proiectului de arhitectură a produsului;
i) verificarea proiectului detaliat;
j) verificarea implementării mecanismelor de asigurare a securității;
k) verificarea mediului de dezvoltare;
l) verificarea documentației de operare;
m) verificarea mediului operațional;
n) realizarea de teste de penetrare;
o) întocmirea raportului de evaluare.
2. Pentru claritate, precizăm că termenul de "verificare" implică analiza elementelor de evaluare, în timp ce "examinarea" furnizează date de intrare pentru realizarea testelor de penetrare. Deși testele de penetrare sunt în mod explicit corelate cu activitățile anterioare, acestea au fost specificate ca activitate distinctă din două motive:
a) pentru a sublinia faptul că analizele anterioare trebuie consolidate și apoi trebuie concepute testele, pe baza acestor analize;
b) pentru a indica faptul că, în general, diferitele teste de penetrare sunt realizate împreună.
3. Prin activitatea de verificare a analizei de conformitate, evaluatorul verifică analiza efectuată de dezvoltatorul produsului INFOSEC. Verificarea poate pune în evidență unele vulnerabilități rezultate, din cauza faptului că anumite funcții de securitate nu asigură atingerea unuia dintre obiectivele securității, în condițiile unei amenințări identificate în ținta de securitate.
4. Activitatea de verificare a analizei caracterului unitar constă în examinarea analizei efectuate de dezvoltatorul produsului INFOSEC și stabilește dacă setul de funcții de securitate implementate, luate ca ansamblu, asigură în mod adecvat îndeplinirea obiectivelor securității.
5. Prin examinarea eficienței mecanismelor de asigurare a securității evaluatorul identifică eventualele mecanisme care nu ating eficiența minimă cerută prin ținta de securitate.
6. În procesul de examinare a vulnerabilităților rezultate din procesul de construcție a produsului INFOSEC, evaluatorul trebuie să identifice eventuale astfel de vulnerabilități ale acestuia. Erorile identificate în procesul de evaluare a corectitudinii procesului de dezvoltare a produsului reprezintă o sursă de vulnerabilități constructive. Această activitate presupune examinarea erorilor, precum și a diferitelor funcționalități introduse în fiecare etapă a dezvoltării produsului.
7. Examinarea ușurinței de utilizare presupune identificarea modurilor de operare nesigure a produsului INFOSEC. Prin urmare, această activitate este strâns legată de cerințe operaționale.
8. Activitatea de evaluare a vulnerabilităților operaționale presupune ca evaluatorul să examineze modul de operare a produsului INFOSEC, pentru a identifica eventuale vulnerabilități apărute în cursul acestui proces.
9. Vulnerabilitățile operaționale tratează aspecte la limita dintre măsurile de securitate IT și cele non-IT, cum ar fi proceduri operaționale privind securitatea fizică, modalități nonelectronice de management al cheilor, distribuția ecusoanelor de securitate etc. Măsurile de securitate non-IT trebuie să facă obiectul preocupărilor entității evaluatoare în următoarele situații:
a) apar ca parte a documentației de operare;
b) ținta de securitate este formulată pe baza unei politici de securitate a sistemului;
c) apar ca parte a documentației produsului INFOSEC.
10. În procesul de analiză a vulnerabilităților operaționale ale produsului INFOSEC, evaluatorii trebuie să analizeze dacă măsurile de securitate non-IT implementate contracarează vulnerabilitățile constructive identificate.
11. Activitatea de verificare a cerințelor presupune ca evaluatorul să determine dacă ținta de securitate definește în mod corect funcțiile care asigură implementarea securității. Ținta de securitate trebuie să identifice clar aceste funcții, nivelul de evaluare solicitat, precum și măsurile de securitate implementate și care trebuie avute în vedere în procesul de evaluare a produsului INFOSEC.
12. Prima etapă în procesul de dezvoltare a produsului, de la faza de cerințe la cea de proiect de arhitectură, prezintă o importanță deosebită, avându-se în vedere faptul că asigură corespondența dintre funcțiile abstracte și componentele logice și fizice ale produsului INFOSEC. În acest context, una dintre principalele activități din procesul de evaluare este verificarea proiectului de arhitectură, în urma căreia evaluatorul decide dacă există o separare bine definită între funcționalitățile care asigură securitatea și celelalte funcționalități ale produsului INFOSEC. În acest caz, activitatea de evaluare poate fi focalizată asupra elementelor care contribuie la asigurarea securității, iar ținta de securitate poate fi urmărită cu ușurință, pe măsură ce proiectul este analizat mai în detaliu.
13. Activitatea de verificare a proiectului detaliat presupune analiza modului în care este respectată politica privind separarea componentelor care asigură securitatea de celelalte componente, precum și verificarea faptului că toate componentele care asigură implementarea securității sunt corect implementate.
14. Verificarea implementării presupune analiza modului în care sunt implementate mecanismele de asigurare a securității, într-un mod mai detaliat decât în cursul activității de verificare a proiectului. Analiza se bazează pe concluziile activității de verificare a proiectului detaliat, după care devine posibilă testarea funcțională.
15. Prin activitatea de verificare a mediului de dezvoltare se analizează în special standardele conform cărora este dezvoltat produsul. În cursul acestei activități se analizează:
a) controlul configurației;
b) limbajele de programare și compilatoarele;
c) măsurile de securitate implementate de dezvoltator.
16. Activitatea de verificare a documentației de operare presupune verificarea faptului că produsul INFOSEC poate fi administrat și utilizat în acord cu obiectivele sale de securitate.
17. Verificarea mediului de operare presupune ca evaluatorul să analizeze dacă produsul operațional este identic cu produsul rezultat din procesul de dezvoltare și dacă acesta poate fi operat în conformitate cu obiectivele securității.
18. Testele de penetrare au rolul de a identifica eventuale vulnerabilități, care pot fi exploatate în procesul de utilizare a produsului INFOSEC.
19. Observațiile și rezultatele fiecărei activități din procesul de evaluare trebuie consemnate în RTE.
Anexa 2 la metodologie
- Model -
Raportul tehnic de evaluare (RTE)
Capitolul I Introducere
Secțiunea 1 Elemente generale
1. Această secțiune conține date generale cu privire la procesul de evaluare și trebuie să prezinte cel puțin următoarele elemente:
a) denumirea, numărul de identificare și versiunea/modelul produsului INFOSEC supus evaluării;
b) date referitoare la dezvoltatorul produsului INFOSEC și, dacă este cazul, la subcontractanții care au contribuit la dezvoltarea produsului INFOSEC;
c) date cu privire la solicitantul evaluării;
d) programarea activităților aferente procesului de evaluare;
e) date cu privire la entitatea evaluatoare.
Secțiunea 2 Obiective
2. Această secțiune trebuie să prezinte obiectivele RTE.
3. În principal, obiectivele sunt:
a) prezentarea elementelor necesare susținerii unei anumite concluzii cu privire la produsul INFOSEC supus evaluării;
b) susținerea procesului de reevaluare a produsului INFOSEC, în cazul în care solicitantul dorește acest lucru.
Secțiunea 3 Domeniu de aplicabilitate
4. Această secțiune trebuie să sublinieze faptul că RTE se referă la întreaga activitate desfășurată în cursul procesului de evaluare.
5. În caz contrar, trebuie specificate motivele pentru care RTE nu acoperă întreaga activitate de evaluare.
Secțiunea 4 Structură
6. Această secțiune trebuie să prezinte structura RTE.
Capitolul II Sumar
7. Acest capitol furnizează date cu privire la rezultatele evaluării.
8. Totodată, acest capitol trebuie să conțină informațiile generale necesare introducerii produsului INFOSEC în Catalogul național, după certificare.
9. Prin urmare, sumarul nu trebuie să conțină informații clasificate.
10. Acest capitol trebuie să conțină:
a) date cu privire la entitatea evaluatoare;
b) nivelul de evaluare atins efectiv;
c) numărul de identificare și versiunea/modelul produsului INFOSEC;
d) sumarul principalelor concluzii ale evaluării;
e) date cu privire la solicitantul evaluării;
f) scurtă descriere a produsului INFOSEC supus evaluării;
g) scurtă descriere a caracteristicilor de securitate ale produsului INFOSEC supus evaluării.
Capitolul III Descrierea produsului INFOSEC supus evaluării
Secțiunea 1 Funcționalitatea produsului INFOSEC
11. Această secțiune trebuie să conțină o prezentare succintă a rolului operațional al produsului INFOSEC, precum și a funcțiunilor pentru care a fost proiectat. Descrierea trebuie să conțină cel puțin următoarele elemente:
a) tipul de date care pot fi procesate utilizând produsul (nivel de clasificare etc.);
b) categoriile de utilizatori care vor utiliza produsul INFOSEC (corelat cu precizările de la punctul anterior).
Secțiunea 2 Etapele procesului de dezvoltare
12. Această secțiune trebuie să prezinte etapele parcurse în realizarea produsului INFOSEC.
13. De asemenea, trebuie prezentate metodologiile, tehnicile, instrumentele și standardele relevante pentru realizarea produsului INFOSEC.
14. Totodată, această secțiune trebuie să includă descrierea elementelor necesare evaluării puse la dispoziția entității evaluatoare de către solicitant. Descrierea trebuie să includă data la care au fost puse la dispoziție aceste elemente și numărul de înregistrare cu care a fost luat în evidență fiecare element.
Secțiunea 3 Arhitectura produsului INFOSEC
15. Această secțiune trebuie să conțină un sumar al proiectului general al produsului INFOSEC. Trebuie să se precizeze gradul de separare între componentele care asigură implementarea securității și celelalte componente. SECȚIUNEA va prezenta și modul de implementare și distribuția între componentele hardware, firmware și software a elementelor care asigură implementarea securității.
16. Toate numerele modelelor/versiunilor acestor componente trebuie specificate într-o anexă la RTE (anexa C).
Secțiunea 4 Descrierea componentelor hardware
17. Descrierea componentelor hardware trebuie să prezinte în detaliu toate componentele relevante pentru procesul de evaluare, la nivel de arhitectură.
Secțiunea 5 Descrierea componentelor firmware
18. Descrierea componentelor firmware trebuie să prezinte în detaliu toate componentele relevante pentru procesul de evaluare.
Secțiunea 6 Descrierea software
19. Descrierea componentelor software trebuie să prezinte în detaliu toate componentele relevante pentru procesul de evaluare. Descrierea trebuie să furnizeze legătura dintre componentele software și cele hardware și firmware.
Capitolul IV Caracteristici de securitate ale produsului INFOSEC
20. Trebuie subliniat că înțelegerea țintei de securitate este un element esențial pentru înțelegerea RTE. De aceea, este recomandabil ca acest capitol să includă descrierea completă a țintei de securitate.
21. Capitolul trebuie să abordeze cel puțin următoarele aspecte:
a) politica de securitate pentru produsul INFOSEC;
b) specificarea funcțiilor de implementare a securității;
c) specificarea mecanismelor de securitate;
d) precizarea nivelului minim estimat de eficiență a mecanismelor de securitate;
e) nivelul de evaluare solicitat.
Capitolul V Evaluarea
22. Prevederile prezentului capitol detaliază activitățile efectuate în procesul de evaluare, cu specificarea tuturor problemelor identificate, atât a celor de natură tehnică, cât și a celor de natură managerială.
23. Capitolul trebuie să conțină date care să sprijine activitatea comisiei de certificare de securitate, în analiza aspectelor de natură tehnică și managerială. Totodată, datele cuprinse în acest capitol pot să contribuie și la eficientizarea activității entității evaluatoare.
Secțiunea 1 Etapele evaluării
24. Această secțiune este similară celei în care sunt prezentate etapele procesului de dezvoltare și trebuie să includă date cu privire la:
a) data la care a fost demarat procesul de evaluare;
b) data la care au fost furnizate elementele necesare evaluării, inclusiv ținta de securitate a produsului INFOSEC;
c) perioada în care au fost realizate testele de penetrare;
d) eventuale vizite efectuate la sediile dezvoltatorului sau ale utilizatorului final al produsului;
e) data la care s-au încheiat activitățile tehnice.
25. Secțiunea trebuie să precizeze toate metodele, tehnicile, instrumentele și standardele utilizate în procesul de evaluare.
Secțiunea 2 Procedura de evaluare
26. Această secțiune trebuie să conțină un sumar al PAE. Sumarul trebuie să includă:
a) activitățile desfășurate de evaluator, conform PAE;
b) totalitatea activităților desfășurate în procesul de evaluare, cu evidențierea activităților care nu au fost cuprinse în PAE, dar au fost efectuate în practică; va fi precizată motivația existenței acestor discrepanțe.
Secțiunea 3 Domeniul de aplicare a evaluării
27. Această secțiune trebuie să precizeze componentele care au făcut obiectul evaluării, precum și ipotezele făcute cu privire la componentele care nu au fost examinate.
Secțiunea 4 Constrângeri și ipoteze
28. Această secțiune trebuie să precizeze eventualele constrângeri asupra procesului de evaluare și ipotezele făcute în cursul acestui proces.
Capitolul VI Sumarul rezultatelor evaluării
29. Prevederile prezentului capitol trebuie să prezinte sumarul rezultatelor evaluării, pentru toate activitățile efectuate în cursul procesului.
30. Se recomandă structurarea pe secțiuni care să corespundă fiecăreia dintre activitățile desfășurate.
31. Fiecare secțiune trebuie să fie corelată cu setul de activități desfășurate.
32. Prezentăm în continuare, cu titlu de exemplu, o listă de aspecte care fac obiectul acestui capitol:
a) Eficiența constructivă
- Aspect 1 - Conformitatea funcționalității
- Aspect 2 - Interrelaționarea funcționalităților
- Aspect 3 - Eficiența mecanismelor
- Aspect 4 - Evaluarea vulnerabilităților constructive
b) Eficiența operațională
- Aspect 1 - Flexibilitatea în utilizare
- Aspect 2 - Evaluarea vulnerabilităților operaționale
c) Realizarea produsului - Procesul de dezvoltare
- Etapa 1 - Cerințe
- Etapa 2 - Proiectul arhitecturii
- Etapa 3 - Proiectul detaliat
- Etapa 4 - Implementarea
d) Realizarea produsului - Mediul de dezvoltare
- Aspect 1 - Controlul configurației
- Aspect 2 - Limbaje de programare și compilatoare
- Aspect 3 - Măsurile de securitate implementate de către dezvoltator
e) Operare - Documentația de operare
- Aspect 1 - Documentația de utilizare
- Aspect 2 - Documentația de administrare
f) Operare - Mediul operațional
- Aspect 1 - Livrarea și configurarea produsului
- Aspect 2 - Punerea în funcțiune și operarea
Secțiunea 1 Teste de penetrare
33. Rezultatele testelor de penetrare au fost analizate separat deoarece testele de penetrare sunt de cele mai multe ori realizate ca parte a unei anumite activități.
34. Prezenta secțiune trebuie să prezinte toate opțiunile de configurare folosite în timpul testelor de penetrare.
Secțiunea 2 Vulnerabilități exploatabile identificate
35. Prezenta secțiune trebuie să descrie vulnerabilitățile ce pot fi exploatate, care au fost identificate în timpul evaluării, precizând:
a) funcția de implementare a securității la care a fost identificată vulnerabilitatea;
b) descrierea vulnerabilității;
c) acțiunile întreprinse de evaluator în momentul identificării vulnerabilității;
d) activitatea în cursul căreia a fost identificată vulnerabilitatea;
e) persoana care a identificat vulnerabilitatea (dezvoltatorul sau evaluatorul);
f) data la care a fost identificată vulnerabilitatea;
g) dacă vulnerabilitatea a fost remediată (se menționează data) sau nu;
h) sursa generatoare a vulnerabilității (dacă este posibil).
Secțiunea 3 Observații legate de vulnerabilități ce nu pot fi exploatate
36. Prezenta secțiune trebuie să descrie vulnerabilitățile ce nu pot fi exploatate și au fost identificate în cadrul evaluării (subliniindu-le pe cele rămase în produsul operațional).
Secțiunea 4 Erori identificate
37. Prezenta secțiune trebuie să precizeze impactul pe care îl pot avea erorile identificate în cadrul procesului de evaluare.
Capitolul VII Ghid pentru reevaluare și analiză a impactului
Prezentul capitol este opțional. Poate fi omis dacă solicitantul evaluării a declarat că nu necesită informații privind o reevaluare sau analiză a impactului.
38. Dacă va fi inclus, acest capitol trebuie să precizeze:
a) includerea fiecărei componente a produsului INFOSEC în una dintre următoarele categorii: componente care asigură implementarea securității, componente relevante pentru securitate sau componente care nu sunt relevante pentru securitate;
b) identificarea instrumentelor de dezvoltare care sunt relevante pentru securitate;
c) modalitatea în care constrângerile sau ipotezele făcute în procesul de evaluare pot avea impact în cazul reevaluării sau refolosirii produsului INFOSEC;
d) orice concluzii privind tehnici de evaluare sau instrumente care pot fi utile în cazul unei reevaluări;
e) detalii de arhivare necesare reînceperii evaluării;
f) pregătire specifică necesară reevaluatorilor pentru demararea unui proces de reevaluare.
Capitolul VIII Concluzii și recomandări
39. Prezentul capitol trebuie să prezinte concluziile și recomandările evaluării. Concluzia principală va preciza dacă produsul INFOSEC îndeplinește obiectivul de securitate stabilit și dacă are vulnerabilități ce pot fi exploatate.
40. Trebuie să se specifice faptul că recomandările se referă la componentele produsului care au făcut obiectul evaluării și că pot exista și alți factori de care evaluatorii nu sunt conștienți, iar acești factori pot influența procesul de certificare a produsului INFOSEC.
41. Recomandările pot include sugestii către alte entități, precum solicitantul evaluării sau dezvoltatorul produsului INFOSEC, pentru a fi înaintate comisiei despre certificare de securitate.
42. Trebuie să se specifice faptul că rezultatele evaluării sunt valabile numai pentru o anumită versiune a produsului INFOSEC, configurată într-un anumit mod, iar comisia de certificare de securitate trebuie informată despre orice schimbări aduse produsului INFOSEC.
Capitolul IX
Anexele RTE
Anexa A - Lista elementelor necesare evaluării
43. Această anexă trebuie să identifice, cu numerele versiunii și datele la care au fost recepționate, toate elementele necesare evaluării sau se face o referire la lista elementelor.
Anexa B - Lista de acronime/Glosar de termeni
44. Această anexă trebuie să explice toate acronimele și abrevierile folosite în RTE. De asemenea, trebuie să definească termenii specifici utilizați.
Anexa C - Configurația evaluată
45. Configurațiile produsului INFOSEC examinate în cadrul evaluării (în special configurații folosite la testele de penetrare, verificare a fiabilității) trebuie identificate clar.
46. Trebuie precizate orice presupuneri făcute sau configurații care nu au fost luate în considerare.
Descrierea componentelor hardware
47. Descrierea componentelor hardware trebuie să furnizeze informații despre configurație, privind toate componentele la nivel arhitectural ce sunt relevante pentru evaluare și, în consecință, pentru implementarea securității.
Descrierea componentelor firmware
48. Descrierea componentelor firmware trebuie să furnizeze informații despre configurație, despre toate componentele care sunt relevante pentru procesul de evaluare și, în consecință, pentru implementarea securității.
Descrierea componentelor software
49. Descrierea componentelor software trebuie să furnizeze informații despre configurație privind părți ale aplicațiilor software utilizate de produsul INFOSEC care sunt relevante pentru procesul de evaluare și, în consecință, pentru implementarea securității.
Anexa D - Rapoartele activităților de evaluare
50. Această anexă nu este necesară dacă toate rapoartele de activitate sunt incluse în cap. VI al RTE.
51. Dacă este inclusă, această anexă trebuie să cuprindă înregistrări ale tuturor activităților de evaluare (incluzând rezultatele testelor efectuate, tehnici și instrumente utilizate).
Anexa E - Probleme identificate
52. Această anexă trebuie să cuprindă rapoarte cu privire la toate problemele identificate în cursul procesului de evaluare.
53. Rapoartele pot fi emise și înainte de finalizarea evaluării și trebuie să conțină cel puțin următoarele elemente:
a) numărul și versiunea produsului INFOSEC supus evaluării;
b) activitatea în cursul căreia a fost identificată problema;
c) descrierea problemei identificate.
Anexa 3 la metodologie
Elemente ale raportului de certificare
Un raport de certificare trebuie să includă cel puțin următoarele elemente:
a) Introducere:
- date generale cu privire la produsul INFOSEC supus evaluării.
b) Rezumat:
- detalii cu privire la entitatea de evaluare;
- identificarea completă a produsului INFOSEC supus evaluării, inclusiv a codului de identificare, versiunii etc.;
- sumarul concluziilor formulate de evaluator;
- date privind dezvoltatorul și, dacă este cazul, a subcontractanților acestuia care au contribuit la dezvoltarea produsului INFOSEC;
- date privind solicitantul certificării;
- nivelul de evaluare atins efectiv.
c) Prezentarea produsului INFOSEC:
- descrierea produsului INFOSEC, în configurația supusă evaluării;
- descrierea hardware;
- descrierea firmware;
- descrierea software;
- descrierea documentației produsului INFOSEC.
d) Evaluarea:
- descrierea sumară a țintei de securitate, care să cuprindă și descrierea caracteristicilor de securitate ale produsului INFOSEC;
- elemente de identificare ale RTE;
- sumarul principalelor concluzii formulate de entitatea de evaluare.
e) Certificarea:
- propuneri referitoare la luarea unei decizii cu privire la certificarea produsului INFOSEC;
- specificarea eventualelor restricții care trebuie avute în vedere în procesul de utilizare a produsului INFOSEC (de exemplu: limitarea nivelului de clasificare a informațiilor, utilizare în medii operaționale specifice etc.).
Anexa 4 la metodologie
Bibliografie
1. Standardele naționale de protecție a informațiilor clasificate în România, aprobate prin
Hotărârea Guvernului nr. 585/2002 , publicată în Monitorul Oficial al României, Partea I, nr. 485 din 5 iulie 2002, cu modificările și completările ulterioare.
2. Normele privind protecția informațiilor clasificate ale Organizației Tratatului Atlanticului de Nord în România, aprobate prin
Hotărârea Guvernului nr. 353/2002 , publicată în Monitorul Oficial al României, Partea I, nr. 315 din 13 mai 2002, cu modificările ulterioare.
3. Metodologia de acreditare a entităților pentru evaluarea produselor de securitate IT și a sistemelor informatice și de comunicații - INFOSEC 12, aprobată prin ordin al directorului general al Oficiului Registrului Național al Informațiilor Secrete de Stat.
4. North Atlantic Council, Guidelines for the security evaluation and certification of communication and information systems (CIS) - AC/35-D/1019-REV1, 2008.
5. Procedure CER/P/01.1 - Certification of the security provided by IT products and systems, February 9, 2004 - Secretariat General de la Defense Naționale, France.
6. Common Methodology for the Information Technology Security Evaluation v. 3.1, rev. 3 2009.
7. SP-001 Certification and Evaluation Scheme - Scheme overview, Swedish Certification Body for IT Security, November 2011.
8. Common Criteria Evaluation and Validation Scheme For Information Technology Security, Guidance to Validators of IT Security Evaluations, Version 2.0, September 2008, Național Institute for Standards and Technologies, U.S.
__________
Textul este prelucrat automat din sursa indicată; numerotarea și legăturile pot conține erori. Referințele subliniate duc la actele citate, așa cum au fost identificate de noi.