Розділ VI. Стандарти, критерії та стратегія захисту інформації

Стандартизація встановлює узгоджені правила, вимоги, терміни, процеси та критерії оцінювання для повторюваного застосування.

Навіщо вона потрібна

• спільна мова між замовником, розробником і аудитором;
• сумісність;
• мінімальні базові вимоги;
• порівнюваність результатів оцінювання;
• керування ланцюгом постачання;
• підтвердження відповідності.

Основні сімейства

• ISO/IEC 27001 — система управління інформаційною безпекою;
• ISO/IEC 27002 — практики контролів;
• ISO/IEC 27005 — ризики;
• ISO 22301 — безперервність;
• ISO/IEC 15408 Common Criteria — оцінювання безпеки ІТ-продуктів;
• NIST CSF 2.0 — результати управління кіберризиком;
• NIST SP 800-53 — каталог контролів;
• IEC 62443 — безпека промислових систем.

Важливе розмежування

Стандарт не гарантує абсолютної безпеки. Сертифікація підтверджує відповідність визначеній області та критеріям на момент оцінки, але не усуває нові загрози чи помилки експлуатації.

Критерії оцінювання дають змогу формалізувати вимоги до функцій безпеки й рівня довіри до їх правильної реалізації.

Історичні підходи

TCSEC («Orange Book») використовував класи D, C1, C2, B1, B2, B3, A1 із наростанням вимог до контролю доступу та assurance. Це важливо історично, але сучасні системи оцінюють гнучкіше.

Common Criteria

Ключові поняття:

• TOE — об’єкт оцінювання;
• Security Target — заявлені властивості конкретного продукту;
• Protection Profile — типовий набір вимог для класу продуктів;
• SFR — функціональні вимоги безпеки;
• SAR — вимоги довіри;
• EAL1–EAL7 — рівні assurance.

Високий EAL не означає, що продукт «безпечніший у всьому»; він означає глибший рівень оцінювання заявлених вимог у визначеній конфігурації.

Національний контекст

У відповіді варто згадати нормативні документи системи технічного захисту інформації (НД ТЗІ) та необхідність оцінювати систему за правовим режимом інформації, моделлю загроз, функціональним профілем і рівнем гарантій.

Логіка оцінювання

1. Описати TOE і його межі.
2. Визначити активи, загрози, припущення та політики.
3. Сформулювати цілі безпеки.
4. Вибрати SFR і SAR.
5. Реалізувати й підготувати докази.
6. Провести незалежне оцінювання у визначеній конфігурації.

Функціональні класи вимог

Аудит, криптографічна підтримка, захист даних користувача, ідентифікація й автентифікація, керування безпекою, приватність, захист функцій TOE, використання ресурсів, доступ до TOE, довірений маршрут/канал.

Assurance

Оцінюють процес розроблення, документацію, керування конфігурацією, тестування, аналіз вразливостей, доставку та експлуатаційну документацію.

Екзаменаційний акцент: Common Criteria оцінює не абстрактний бренд, а конкретний об’єкт, версію, конфігурацію та заявлені властивості за визначених припущень.

Базові акти

• Конституція України;
• закони «Про інформацію», «Про захист інформації в інформаційно-комунікаційних системах», «Про основні засади забезпечення кібербезпеки України», «Про критичну інфраструктуру», «Про електронні комунікації», «Про електронну ідентифікацію та електронні довірчі послуги», «Про державну таємницю», «Про захист персональних даних»;
• Стратегія кібербезпеки України;
• підзаконні акти Кабінету Міністрів, нормативні документи технічного й криптографічного захисту.

Логіка правового регулювання

1. визначення суб’єктів і повноважень;
2. категорії інформації та режими доступу;
3. вимоги до систем і операторів;
4. повідомлення та реагування на інциденти;
5. захист КІ;
6. відповідальність;
7. міжнародна взаємодія.

Як відповідати

Не намагатися механічно перелічити всі акти. Показати ієрархію, предмет регулювання кожного базового закону та взаємозв’язок правових, організаційних і технічних вимог. Перед іспитом слід перевірити чинні редакції в офіційній базі Верховної Ради.