Computerworld.pl
 
  1. Strona główna
  2. Wiadomości
  3. Kryteria oceny zabiezpieczeń w teleinformatyce

Kryteria oceny zabiezpieczeń w teleinformatyce

Obowiązki wnioskodawcy

Podstawowym obowiązkiem wnioskodawcy jest dostarczenie (na własny koszt) obiektu i koniecznej dokumentacji oraz narzędzi testujących. Dodatkowym - współpraca z laboratorium badawczym i jednostką certyfikującą. Polega ona na nieodpłatnym dostarczaniu dodatkowych dokumentów, sprzętu, oprogramowania i innych narzędzi potrzebnych do wydania pełnej opinii. Praktycznie, w procesie uzyskiwania certyfikatów np. dla systemów operacyjnych, producenci dostarczają kolejne wersje w miarę jak personel laboratoriów badawczych wykrywa w tych systemach błędy i słabe miejsca w zabezpieczeniu (podatność na zagrożenia).

Zakres i szczegółowość dokumentacji i dodatkowych elementów (np. narzędzi używanych do testowania obiektu) zależy od wnioskowanego poziomu oceny. Pełną informację na ten temat zawiera norma ITSEC. Przykładowo będzie opisany zakres dokumentacji dla poziomu E2. Kombinowany z klasą funkcji F-C2 jest ekwiwalentny klasie C2 według TCSEC.

Wnioskodawca dla poziomu E2 jest zobowiązany dostarczyć:

  • informacje dotyczące procesu badawczo-rozwojowego:

    1. specyfikację zabezpieczeń, w przypadku podsystemu, zawierającą opis Polityki Systemowego Zabezpieczenia;

    2. nieformalny opis architektury obiektu;

    3. nieformalny opis projektu szczegółowego;

    4. dokumentację testowania;

    5. bibliotekę programów testujących i narzędzi używanych do testowania obiektu;
  • informacje dotyczące środowiska badawczo-rozwojowego:

    1. listę konfiguracyjną określającą wersję obiektu;

    2. informację o systemie kontroli konfiguracji;

    3. informację o zabezpieczeniu środowiska badawczo-rozwojowego;
  • nformacje dotyczące eksploatacji:

    1. dokumentację administratora;

    2. dokumentację użytkownika.
    Uważny czytelnik zauważy, że lista ta różni się od ogólnego wzorca. Nie ma w tym sprzeczności. Na poziomie E2 nie żąda się jeszcze np. kodów źródłowych programów i schematów ideowych komponentów realizujących funkcje zabezpieczenia. Wymagane są one na poziomie E3. Na poziomie E4 producent powinien dostarczyć półformalny opis architektury.

    Praktyka stosowania kryteriów

    Na pewno interesująca byłaby odpowiedź na pytanie, jakie produkty i systemy uzyskały certyfikaty według znanych kryteriów. Na podstawie ubiegłorocznych publikacji tylko jeden system operacyjny w USA uzyskał klasę B3 - MLS-XTS-300 Version STOP 4.1a, i jeden klasę B2 - MLS-Trusted XENIX Version 2.0, 3.0 i 4.0 (2). Dwa komponenty sieciowe: Boeing MLS LAN ver 2.1 i Gemini Trusted Network Processor mają klasę A1. Najwyżej notowane na tej liście systemy baz danych - Informix OnLine/Secure Release 4.1.5.0 , 5.0 oraz Trusted Oracle7 Release7.0.13 i 7.0.13.1 osiągnęły „dopiero” klasę B1. Oceny wg Orange Book.

    Natomiast w Europie, istniejący od 1990 r. niemiecki BSI wydał do ubiegłego roku (3) niewiele ponad 20 certyfikatów. Najwyższy poziom oceny - E4 - uzyskały 3 specjalizowane systemy operacyjne dla kart elektronicznych (smart card) w tym firmy Siemens-Nixdorf Informationssysteme AG. Tej samej firmy system operacyjny BS2000-SC Version 10.0 dla maszyn typu mainframe uzyskał Q3,F2 ekwiwalentne poziomowi E3 i klasie funkcjonalności F-C2 wg ITSEC. Systemy operacyjne lub podsystemy zabezpieczające dla PC nie wyszły poza poziom E2, klasę F-C2 i siłę mechanizmów średnią!

    •

    TOP 200

    Computerworld

    Computerworld dostarcza najświeższe informacje, opinie, prognozy i analizy z branży IT w Polsce i na świecie.

    Tematy

    Serwisy IDG

    Znajdź nas:   

    W celu komercyjnej reprodukcji treści Computerworld należy zakupić licencję. Skontaktuj się z naszym partnerem, YGS Group, pod adresem [email protected]

    Zamów reklamę

    (+48) 662 287 830
    Napisz do nas