· Web viewTiêu chuẩn về an toàn thông tin cho các thiết bị, hệ thống sản phẩm công nghệ thông tin trong lĩnh vực công nghệ thông tin ở Việt Nam

BỘ THÔNG TIN VÀ TRUYỀN THÔNG

TRUNG TÂM ỨNG CỨU KHẨN CẤP MÁY TÍNH VIỆT NAM

------- -------

THUYẾT MINH DƯ THAO TIÊU CHUẨN

NGHIÊN CỨU XÂY DƯNG TCVN “CÔNG NGHỆ THÔNG TIN – CÁC KỸ THUẬT AN TOÀN – HỒ SƠ BAO VỆ CHO HỆ ĐIỀU

HÀNH”

HÀ NỘI, 2017

MỤC LỤC

1. Tên goi va ky hiêu tiêu chuân..................................3

2. Đặt vấn đề..............................................................3

2.1. Tình hình an toàn thông tin, các mối đe doạ, sự cố...............

2.1.1. Tình hình an toàn thông tin quốc tế..................................3

2.1.2. Tình hình an toàn thông tin trong nước...........................3

2.1.3. Các mối đe doạ, sự cố liên quan đến hệ điều hành.........................4

2.2.........................Tinh hinh tiêu chuân hoa về an toan thông tin8

2.2.1. Nhóm tiêu chuẩn ISO/IEC 27000.........................................8

2.2.2. Nhóm tiêu chuẩn cho an toàn sản phẩm thông tin. . .15

2.3................Tinh hinh tiêu chí đánh giá liên quan đến an toan cho sản phâm CNTT......................................................

2.3.1. Lịch sử hình thành tiêu chí chung (Common Criteria – CC) 17

2.3.2. Khái niệm, bố cục và cấu trúc cơ bản của CC...............................19

2.3.3. Tình hình hồ sơ bảo vệ trên thế giới..............................................28

2.4.................................................Hoạt động đảm bảo an toan thông tin31

3. Ly do va mục đích xây dựng tiêu chuân..................33

3.1. Lý do xây dựng tiêu chuẩn...................................................

3.2. Mục đích xây dựng tiêu chuẩn.............................................

4. Phạm vi va khả năng áp dụng................................34

5. Sở cứ xây dựng tiêu chuân.....................................37

5.1. Lựa chọn tiêu chuẩn tham chiếu..........................................

5.2. Phương pháp xây dựng tiêu chuẩn.......................................

5.3. Tài Liêu Kham Khảo.............................................................

6. Nội dung dự thảo tiêu chuân kỹ thuật....................39

6.1. Giới thiêu tiêu chuẩn yêu cầu kỹ thuật an toàn hê điều hành...........................................................................................

6.2. Cấu trúc Dự thảo tiêu chuẩn................................................

6.3. Bảng đối chiếu tiêu chuẩn viên dẫn.....................................

7. Kết luận................................................................43

1. Tên goi va ky hiêu tiêu chuân

Tên dự thảo tiêu chuẩn quốc gia: “CÔNG NGHỆ THÔNG TIN - CÁC KỸ THUẬT AN TOÀN – HỒ SƠ BAO VỆ CHO HỆ ĐIỀU HÀNH”.Mã số: 14-07-NSCLKí hiêu: TCVN XXXX:XXXX

2. Đặt vấn đề2.1. Tinh hinh an toan thông tin, các mối đe doạ, sự cố2.1.1. Tinh hinh an toan thông tin quốc tế

Tình hình an ninh thông tin trên thế giới trong vòng một năm vừa qua nổi lên với rất nhiều các cuộc tấn công mạng máy tính. Các cuộc tấn công tin học này nhằm vào mọi cơ quan tổ chức, từ các cơ quan chính phủ, các công ty lớn tới các tổ chức quốc tế.

Trong quý 2 năm 2017, thế giới đã chứng kiến những bước phát triển đáng kể trong các cuộc tấn công nhắm vào mục tiêu cụ thể bởi các mối đe dọa đến từ Nga, Anh, Hàn Quốc và Trung Quốc. Các mối đe dọa trên internet đã sử dụng rất nhiều công cụ độc hại mới, bao gồm 3 lỗ hổng zero-day và 2 cuộc tấn công mã hóa dữ liêu đòi tiền chuộc chưa từng có là WannaCry và ExPetr.

2.1.2. Tinh hinh an toan thông tin trong nước

Trong bối cảnh phát triển như vũ bão của công nghê thông tin, ngày càng nhiều các tổ chức, đơn vị, doanh nghiêp hoạt động và ứng dụng hê thống công nghê thông tin vào hoạt động sản xuất. Nếu hê thống công nghê thông tin gặp sự cố thì hoạt động của các đơn vị này sẽ bị ảnh hưởng nghiêm trọng thậm chí có thể bị tê liêt hoàn toàn.

3

Tình trạng vi phạm an toàn thông tin tại Viêt Nam đang ngày một nghiêm trọng. Các cá nhân, tổ chức tại Viêt Nam vẫn rất lơ là trong công tác an toàn thông tin, viêc đầu tư cho an toàn thông tin vẫn còn ở mức thấp.

Trước tình hình an toàn thông tin gặp nhiều thách thức như hiên nay, Chính phủ Viêt Nam đã rất chú trọng và ban hành một loạt các bộ luật, nghị định, chỉ thị về các tiêu chuẩn và quy chuẩn liên quan đến an toàn thông tin từ năm 2006 đến nay. Viêc nghiên cứu và xây dựng các tiêu chuẩn, quy chuẩn kỹ thuật này đã và đang được Bộ Thông tin và Truyền thông triển khai hàng năm.

2.1.3. Các mối đe doạ, sự cố liên quan đến hệ điều hành

Hê điều hành là phần mềm quản lý phần cứng máy tính, đóng vai trò trung gian trong viêc giao tiếp giữa người sử dụng và phần cứng máy tính, cung cấp một môi trường cho phép người dùng phát triển và thực hiên các ứng dụng một cách dễ dàng. Phần cứng được quản lý bởi hê điều hành có thể là vật lý hoặc ảo hóa.

Hê điều hành cho mục đích chung (General-Purpose Operating

System) thường hoạt động trong môi trường cung cấp các dịch vụ tập trung có thể được sử dụng bởi một số lượng lớn các hê thống trong một tổ chức. Người ta cho rằng một hê điều hành cho mục đích chung cung cấp khả năng sử dụng các dịch vụ tập trung cho viêc thực hiên chức năng an toàn, ví dụ, máy chủ xác thực, máy chủ thư mục, các dịch vụ chứng nhận hoặc máy chủ nhật ký kiểm toán. Trong khi hầu hết các hê điều hành đa năng mới thực hiên các chức năng như dịch vụ an ninh tập trung và cũng có thể đóng vai trò là máy chủ cho các dịch vụ này.

4

Hồ sơ bảo vê hê điều hành (Operating System Protection Profiles – OSPP) bao gồm các hê điều hành cho mục đích chung cung cấp môi trường đa người dùng và đa tác vụ.

Vấn đề bảo mật trên các phiên bản hê điều hành cho máy chủ và máy trạm luôn nhận được sự quan tâm sát sao của cộng đồng IT, nhà phát triển, đơn vị kiểm định chất lượng sản phẩm CNTT,...

Trong thời gian gần đây tình hình an toàn thông tin diễn ra phức tạp, tiềm ẩn nhiều nguy cơ đối với an ninh quốc gia và trật tự an toàn xã hội như nhiều cuộc tấn công khai thác các điểm yếu, lỗ hổng bảo mật trên hê điều hành.

STT Tên sản phầm Nhà sản xuất Số lượng lỗ hổng

1 Linux Kernel Linux 1.989

2 Windows Server 2008 Microsoft 1.012

3 Ubuntu Linux Canonical 881

4 Windows 7 Microsoft 868

5 Windows Vista Microsoft 815

6 Windows Xp Microsoft 730

7 Mac Os X Server Apple 641

8 Windows Server 2012 Microsoft 638

9 Windows 8.1 Microsoft 573


11 Solaris SUN 533


13 Enterprise Linux Redhat 432

5

14 Windows 2003 Server Microsoft 442




18 Windows Nt Microsoft 249

Bảng 1: Tổng hợp các lỗ hổng trên một số hệ điều hành

(nguồn: thống kê từ https://www.cvedetails.com/)

Hình 1: Lỗ hổng trên các sản phẩm của Microsoft qua các năm(nguồn: thống kê từ https://www.cvedetails.com/)

6

Hình 2: Lỗ hổng trên các sản phẩm của RedHat qua các năm

(nguồn: thống kê từ https://www.cvedetails.com/)

Trong khuôn khổ của báo cáo này, chúng tôi chỉ đưa ra thống kê một vài

lỗ hổng trên một vài hệ điều hành phổ biến để xem xét các nguy cơ đối với các

hệ điều hành nói chung:

Lố hổng gây từ chối dịch vụ:- CVE-2017-11788 (thường được gọi Windows Search Denial of

Service Vulnerability)

- CVE-2017-11781 (thường được gọi là Windows SMB Denial of

Service Vulnerability)

- CVE-2017-8704 (thường được gói là Hyper-V Denial of Service

Vulnerability)

- CVE-2017-8673 (thường được gọi là Windows Remote Desktop Protocol (RDP) Denial of Service Vulnerability)

- CVE-2017-1000407 nằm trong Linux Kernel 2.6.32 và phiên bản mới hơn có thể gây ra từ chối dịch vụ

Lỗ hổng gây thực thi mã:

- CVE-2017-11940 (thường được gọi là Microsoft Malware

Protection Engine Remote Code Execution Vulnerability)

7

- CVE-2017-11819 (thường được gọi là Windows Shell Remote

Code Execution Vulnerability)

- CVE-2017-11771 (thường được gọi là Windows Search Remote


- CVE-2017-11762 (thường được gọi là Microsoft Graphics

Remote Code Execution Vulnerability)

- CVE-2017-8699 (thường được gọi là Windows Shell Remote


- CVE-2017-14746 nằm trong Samba 4.x và các phiên bản trước đấy 4.7.3 trên linux

Lỗ hổng leo thang đặc quyền:

- CVE-2017-0244 (thường được gọi là Windows Kernel Elevation

of Privilege Vulnerability)

- CVE-2017-0246 (thường được gọi là Win32k Elevation of

Privilege Vulnerability)

- CVE-2015-1795 lỗ hổng nếu bị khai thác sẽ nâng quyền từ user lên quyền root

2.2. Tinh hinh tiêu chuân hoa về an toan thông tin

Hiên nay, lĩnh vực công nghê thông tin ngày càng phát triển đồng thời cũng phải đối mặt với ngày càng nhiều các nguy cơ gây mất an toàn thông tin như nghe lén, gián điêp, tấn công sử dụng mã độc,… Hậu quả chúng gây ra ảnh hưởng không nhỏ tới đời sống cũng như nền kinh tế, an ninh quốc gia: làm lộ thông tin, chiếm đoạt bí mật công nghê, phá hoại hê thống thông tin. Trước tình hình đó, hàng năm các tổ chức tiêu chuẩn quốc tế vẫn liên tục cập nhật và xây dựng mới các tiêu chuẩn về an toàn thông tin.

2.2.1. Nhom tiêu chuân ISO/IEC 27000

8

Bộ tiêu chuẩn ISO/IEC 27000 về hê thống quản lý an toàn thông tin đã có trên 40 tiêu chuẩn, trong đó trên ¾ số tiêu chuẩn đã được ban hành và một số khác hiên đang được xây dựng.

Bảng 1: Danh mục các tiêu chuân về hê thống quản ly an toan thông tin (Bộ tiêu chuân ISO/IEC 27000)

STT

Ky hiêu tiêu chuâ

n ISO/IEC

Tên tiêu chuânKy hiêu

tiêu chuân Viêt Nam

1ISO/IEC 2700

0:2014

Công nghê thông tin – Các kỹ thuật an toàn – Hê thống quản lý an toàn thông tin – Tổng quan và từ vựng

TCVN 11238:2015

ISO/IEC 27000:2014

2ISO/IEC

27001:2013

Công nghê thông tin – Các kỹ thuật an toàn - Hê thống quản lý an toàn thông tin — Các yêu cầu

TCVN ISO/IEC 27001:2009

ISO/IEC 27001:2005

3ISO/IEC

27002:2013

Công nghê thông tin – Các kỹ thuật an toàn - Quy tắc thực hành quản lý an toàn thông tin


ISO/IEC 27002:2009

4ISO/IEC

27003:2010

Công nghê thông tin – Các kỹ thuật an toàn - Hướng dẫn triển khai hê thống quản lý an toàn thông tin

TCVN 10541:2014

ISO/IEC 27003:2010

5ISO/IEC

27004:2009

Công nghê thông tin – Các ký thuật an toàn - Quản lý an toàn thông tin – Đo lường đánh giá

TCVN 10542:2014

ISO/IEC 27004:2009

6 ISO/IEC 270

05:2011

Công nghê thông tin – Các kỹ thuật an toàn – Quản lý rủi ro an toàn thông tin

TCVN 10295:2014

ISO/IEC

9

27005:2011

7ISO/IEC

27006:2011

Công nghê thông tin – Các kỹ thuật an toàn - Các yêu cầu đối với các tổ chức đánh giá và cấp chứng nhận hê thống quản lý an toàn thông tin


ISO/IEC 27006:2011

8ISO/IEC

27007:2011

Công nghê thông tin – Các kỹ thuật an toàn - Hướng dẫn đánh giá hê thống quản lý an toàn thông tin

TCVN 11779:2017

9ISO/IEC TR 27008:201

1

Công nghê thông tin – Các kỹ thuật an toàn – Hướng dẫn đánh giá viên đánh giá các biên pháp kiểm soát của hê thống quản lý an toàn thông tin

Dự thảo TCVN

10 ISO/IEC 27009:

Công nghê thông tin – Các kỹ thuật an toàn – Ứng dụng chuyên ngành của ISO/IEC 27001 — Các yêu cầu (Dự thảo)

11ISO/IEC

27010:2012

Công nghê thông tin – Các kỹ thuật an toàn – Quản lý an toàn thông tin cho truyền thông liên ngành và liên tổ chức

TCVN 10543:2014

ISO/IEC 27010:2012

12ISO/IEC 2701

1:2008

Công nghê thông tin – Các kỹ thuật an toàn- Hướng dẫn quản lý an toàn thông tin cho các tổ chức viễn thông dựa trên ISO/IEC 27002

13ISO/IEC

27013:2012

Công nghê thông tin – Các kỹ thuật an toàn- Hướng dẫn triển khai tích hợp ISO/IEC 27001 và ISO/IEC 20000-1

14ISO/IEC

27014:2013

Công nghê thông tin – Các kỹ thuật an toàn – Quản trị an toàn thông tin

15ISO/IEC TR 27015:201

2

Công nghê thông tin – Các kỹ thuật an toàn- Hướng dẫn quản lý an toàn thông tin cho các dịch vụ tài chính


10

16ISO/IEC TR 27016:201

4

An toàn IT – Các kỹ thuật an toàn - Quản lý an toàn thông tin– Kinh tế của tổ chức

17 ISO/IEC 27017

Công nghê thông tin – Các kỹ thuật an toàn — Quy tắc thực hành các biên pháp kiểm soát ATTT dựa trên ISO/IEC 27002 đối với các dịch vụ đám mây (FDIS)

18ISO/IEC

27018:2014

Công nghê thông tin – Các kỹ thuật an toàn — Quy tắc thực hành bảo vê thông tin định danh cá nhân (PII) trong đám mây công cộng hoạt động có vai trò là các bộ vi xử lý PII

19ISO/IEC TR 27019:201

3

Công nghê thông tin – Các kỹ thuật an toàn — Hướng dẫn quản lý ATTT dựa trên ISO/IEC 27002 đối với các hê thống kiểm soát xử lý dành cho công nghiêp năng lượng

20 ISO/IEC 27021

Công nghê thông tin – Các kỹ thuật an toàn — Các yêu cầu năng lực đối với các chuyên gia quản lý ATTT (dự thảo)

21ISO/IEC TR 27023:201

5

Công nghê thông tin – Các kỹ thuật an toàn — Ánh xạ các phiên bản sửa đổi của ISO/IEC 27001 và ISO/IEC 27002

22ISO/IEC

27031:2011

Công nghê thông tin – Các kỹ thuật an toàn - Hướng dẫn về sự sẵn sàng của ICT để đạt được sự liên tục về nghiêp vụ


ISO/IEC 27031:2011

23ISO/IEC

27032:2012

Công nghê thông tin – Các kỹ thuật an toàn – Hướng dẫn an toàn mạng thực tại ảo

TCVN 11780:2017

ISO/IEC 27032:2012

24 ISO/IEC 27033

Công nghê thông tin – Các kỹ thuật an toàn – An toàn mạng

11

ISO/IEC 27033-1:2009

Tổng quan và khái niêm TCVN 9801-1:2013 ISO/IEC 27033-1:2009

ISO/IEC 27033-2:2012

Hướng dẫn thiết kế và triển khai an toàn mạng

TCVN 9801-2:2015

ISO/IEC 27033-2:2012

ISO/IEC 27033-3:2010

Các kịch bản kết nối mạng tham chiếu – Nguy cơ, kỹ thuật thiết kế và các vấn đề kiểm soát

TCVN 9801-3:2014 ISO/IEC 27033-3:2010

ISO/IEC 27033-4:2014

An toàn truyền thông giữa các mạng sử dụng cổng an toàn

ISO/IEC 27033-5:2013

An toàn truyền thông giữa các mạng sử dụng mạng riêng ảo

ISO/IEC 27033-6

An toàn truy cập mạng IP không dây (Dự thảo)

25 ISO/IEC 27034

Công nghê thông tin – Các kỹ thuật an toàn – An toàn ứng dụng

ISO/IEC 27034-1:2011

Tổng quan và khái niêm

ISO/IEC 27034-2

Khuôn dạng chuẩn về tổ chức (FDIS)

ISO/IEC 27034-3

Quy trình quản lý an toàn ứng dụng (Dự thảo)

ISO/IEC 27034-4

Công nhận an toàn ứng dụng (Dự thảo)

ISO/IEC 27034-5

Các giao thức và cấu trúc dữ liêu kiểm soát an toàn ứng dụng (Dự thảo)

12

ISO/IEC 27034-6

Nghiên cứu tình huống (Dự thảo)

ISO/IEC 27034-7

Dự đoán đảm bảo an toàn ứng dụng (Dự thảo)

26ISO/IEC 27035-1:2016

Công nghê thông tin – Các kỹ thuật an toàn – Quy tắc quản lý sự cố an toàn thông tin

ISO/IEC 27035-2:2016

Hướng dẫn lập kế hoạch và chuẩn bị ứng cứu sự cố

ISO/IEC 27035-3

Hướng dẫn cho các hoạt động ứng cứu sự cố ICT (công nghê thông tin và truyền thông – Dự thảo

27 ISO/IEC 27036

An toàn IT – Các kỹ thuật an toàn – ATTT đối với các quan hê giữa các nhà cung cấp (phần 1, 2 & 3 đã ban hành, phần 4 dự thảo)

ISO/IEC 27036-1:

2014

An toàn thông tin cho mối quan hê cung ứng - Tổng quan và khái niêm.

ISO/IEC 27036-2:

2014

Yêu cầu chung

ISO/IEC 27036-3:2013

Hướng dẫn an toàn chuỗi cung ứng ICT

ISO/IEC 27036–4:2016

Hướng dẫn an toàn thông tin cho dịch vụ đám mây

28ISO/IEC

27037:2012

Công nghê thông tin – Các kỹ thuật an toàn – Hướng dẫn xác định, thu thập, sao chép và bảo quản bằng chứng số

Dự thảo TCVN

29 ISO/IEC Công nghê thông tin – Các kỹ thuật

13

27038:2014

an toàn –Công nghê thông tin - Kỹ thuật an toàn - Chỉ dẫn kỹ thuật biên soạn kỹ thuật số

30ISO/IEC

27039:2015

Công nghê thông tin – Các kỹ thuật an toàn – Lựa chọn, triển khai và vận hành hê thống phát hiên và ngăn chặn xâm nhập (IDPS)

31ISO/IEC

27040:2015

Công nghê thông tin – Các kỹ thuật an toàn – An toàn lưu trữ

32ISO/IEC

27041:2015

Công nghê thông tin – Các kỹ thuật an toàn – Hướng dẫn đảm bảo sự phù hợp và đầy đủ theo phương pháp điều tra sự cố

33ISO/IEC

27042:2015

Công nghê thông tin – Các kỹ thuật an toàn – Hướng dẫn phân tích và làm sáng tỏ bằng chứng số

34ISO/IEC

27043:2015

Công nghê thông tin – Các kỹ thuật an toàn – Quy trình và nguyên tắc điều tra số

35 ISO/IEC 27044

Công nghê thông tin – Các kỹ thuật an toàn – Hướng dẫn quản lý thông tin và sự kiên an toàn (SIEM) (dự thảo)

36ISO/IEC 27050-1:2016

Công nghê thông tin – Các kỹ thuật an toàn – Phát hiên điên tử – Tổng quan và khái niêm

ISO/IEC 27050-2

Công nghê thông tin – Các kỹ thuật an toàn – Hướng dẫn quản trị và quản lý phát hiên điên tử (Dự thảo)

ISO/IEC 27050-3

Công nghê thông tin – Các kỹ thuật an toàn – Quy tắc thực hành cho phát hiên điên tử (Dự thảo)

37 ISO 2779

Thông tin sức khỏe - Quản lý an toàn thông tin trong lĩnh vực y tế khi

14

9:2008 áp dụng ISO/IEC 27002.

Bảng 2. Bảng danh mục các tiêu chuân Viêt Nam đã được công bố va đang dự thảo

STT Tiêu chuân Năm xuất

bản Nội dung

ISO/IEC 27000 2016 Hê thống quản lý an toàn thông tin (ISMS) - Tổng quan và từ vựng

ISO/IEC 27001 2013 ISMS- Các yêu cầuISO/IEC 27002 2013 Quy tắc thực hành quản lý an toàn

thông tinISO/IEC 27003 2017 ISMS- Hướng dẫn triển khaiISO/IEC 27004 2016 Quản lý an toàn thông tin- Đo lườngISO/IEC 27005 2011 Quản lý rủi ro an toàn thông tinISO/IEC 27006 2015 Yêu cầu các tổ chức ISO/IEC 27007 2017 Hướng dẫn đánh giá hê thống quản lý

an toàn thông tinISO/IEC TR

270082011 Hướng dẫn chuyên gia đánh giá kiểm

soát hê thống an toàn thông tinISO/IEC 27009 2016 Ứng dụng ngành cụ thể của ISO/IEC

27001- Các yêu cầuISO/IEC 27010 2015 Quản lý an toàn thông tin cho truyền

thông liên ngành và liên tổ chứcISO/IEC 27011 2016 Hướng dẫn quản lý an toàn thông tin

cho các tổ chức viễn thông dựa trên tiêu chuẩn ISO/IEC 27002

ISO/IEC 27013 2015 Hướng dẫn thực hiên tích hợp ISO/IEC 27001 và ISO/IEC 20000-1

ISO/IEC 27014 2013 Quản trị an toàn thông tinISO/IEC TR

270152012 Hướng dẫn quản lý an toàn thông tin

cho dịch vụ tài chínhISO/IEC TR

270162014 Quản lý an toàn thông tin- Các tổ chức

kinh tế

15

ISO/IEC 27017 2015 Quy tắc thực hành kiểm soát an toàn thông tin cho các dịch vụ điên toán đám mây dựa trên ISO 27002

ISO/IEC 27018 2014 Quy tắc thực hành để kiểm soát, bảo vê thông tin định danh cá nhân xử lý trong các dịch vụ điên toán đám mây

ISO/IEC TR 27019

2013 Hướng dẫn quản lý an toàn thông tin dựa trên ISO/IEC 27002 cho các hê thống kiểm soát quy trình đặc trưng trong ngành công nghiêp năng lượng

ISO/IEC 27031 2011 Hướng dẫn công nghê thông tin và truyền thông cho tính liên tục nghiêp vụ

ISO/IEC 27032 2012 Hướng dẫn về an toàn không gian mạng

ISO/IEC 27033

-1 2015 Khái niêm và tổng quan an toàn mạng-2 2012 Hướng dẫn thiết kế và triển khai an

toàn mạng-3 2010 Các kịch bản kết nối mạng tham

chiếu- Nguy cơ, kỹ thuật thiết kế và các vấn đề kiểm soát.

-4 2014 Bảo mật truyền thông giữa các mạng sử dụng cổng an toàn.

-5 2013 Bảo mật truyền thông trên mạng sử dụng VPN (mạng riêng ảo)

-6 2016 Bảo vê truy cập mạng không giâyISO/IEC 27034 -1 2011 An toàn ứng dụng - Khái niêm và tổng

quan-2 2015 Khung quy tắc cho tổ chức

-3 Dự thảo Quy trình quản lý an toàn ứng dụng-4 Dự thảo Xác nhận an toàn ứng dụng-5 Dự thảo Giao thức và cấu trúc dữ liêu kiểm

soát bảo mật ứng dụng-6 2016 Trưởng hợp nghiên cứu

-7 Dự thảo Khung dự báo đảm bảo an toàn ứng

16

dụngISO/IEC 27035 -1 2016 ISMS- Quy tắc quản lý sự cố an toàn

thông tin-2 2016 Hướng dẫn lập kế hoạch và chuẩn bị

ứng cứu sự cố-3 Hướng dẫn cho các hoạt động ứng cứu

sự cố ICT (công nghê thông tin và truyền thông)

ISO/IEC 27036 -1 2014 An toàn thông tin cho mối quan hê cung ứng - Tổng quan và khái niêm.

-2 2014 Yêu cầu chung-3 2013 Hướng dẫn an toàn chuỗi cung ứng

ICT-4 2013 Hướng dẫn an toàn thông tin cho dịch

vụ điên toán đám mâyISO/IEC 27037 2012 Hướng dẫn xác định, thu thập, sao

chép và bảo quản bằng chứng sốISO/IEC 27038 2014 Chỉ dẫn kỹ thuật biên soạn kỹ thuật sốISO/IEC 27039 2015 Lựa chọn, triển khai và vận hành hê

thống phát hiên và ngăn chặn xâm nhập

ISO/IEC 27040 2015 An toàn lưu trữISO/IEC 27041 2015 Hướng dẫn đảm bảo tính phù hợp và

đầy đủ của phương pháp điều tra sốISO/IEC 27042 2015 Hướng dẫn phân tích và làm sáng tỏ

bằng chứng sốISO/IEC 27043 2015 Quy trình và nguyên tắc điều tra số

ISO/IEC 27050

-1 2016 Phát hiên điên tử- Tổng quan và khái niêm

-2 Dự thảo Hướng dẫn quản trị và quản lý phát hiên điên tử

-3 Dự thảo Quy tắc thực hành cho phát hiên điên tử

ISO/IEC 27799 2016 Thông tin sức khỏe - Quản lý an toàn thông tin trong lĩnh vực y tế sử dụng

17

ISO/IEC 27002.

2.2.2. Nhom tiêu chuân cho an toan sản phâm thông tin

Tổ chức tiêu chuẩn quốc tế ISO đã ban hành bộ tiêu chuẩn ISO/IEC

15408 nhằm đưa ra các tiêu chí chung cho việc đánh giá ATTT cho các sản

phẩm và hệ thống.

Bộ tiêu chuẩn ISO/IEC 15408 gồm 3 tập bắt đầu được ban hành từ năm

1999, phiên bản thứ 2 được ban hành năm 2005 thay thế toàn bộ phiên bản đầu.

Phiên bản thứ 3 được ban hành trong năm 2008 và 2009. Chính sự phát triển

công nghệ, dịch vụ cũng như việc tăng khả năng triển khai áp dụng tiêu chuẩn

vào thực tiến đã dẫn đến các cập nhật, sửa đổi, bổ sung trên của bộ tiêu chuẩn.

Song song với việc ban hành bộ tiêu chuẩn ISO/IEC 15408, tổ chức ISO cũng

đã ban hành tiêu chuẩn ISO/IEC 18045 về hệ thống các phương pháp đánh giá

an toàn thông tin nhằm hỗ trợ việc triển khai ISO/IEC 15408.

Bộ tiêu chuẩn ISO/IEC 15408 được xuất bản bởi Ủy ban kỹ thuật liên hợp

ISO/IEC JTC 1 về công nghệ thông tin và Tiểu ban SC 27 về các kỹ thuật an

toàn CNTT, trên cơ sở xem xét dự thảo đề xuất của các tổ chức tài trợ dự án về

các tiêu chuẩn chung dưới tiêu đề “Các tiêu chí chung cho đánh giá an toàn

CNTT”.

ISO/IEC 15408 được trình bày dưới dạng một tập hợp của ba phần

riêng biệt song có liên quan mật thiết nhau, nhằm đưa ra bộ khung đánh

giá chung và các tiêu chí đánh giá chung nhất cho đánh giá an toàn thông

tin.

TCVN 8709-1:2011 ISO/IEC 15408-1:2009 Công nghê thông tin - Các kỹ thuật an toàn- Các tiêu chí đánh giá an toàn CNTT - Phần 1: Giới thiêu và mô hình tổng quát

CVN 8709-2:2011 ISO/IEC 15408-2:2008 Công nghê thông tin - Các kỹ thuật an toàn- Các tiêu chí đánh giá an toàn CNTT - Phần 2: Các thành phần chức năng an toàn

18

CVN 8709-3:2011 ISO/IEC 15408-3:2008 Công nghê thông tin - Các kỹ thuật an toàn - Các tiêu chí đánh giá an toàn CNTT - Phần 3: Các thành phần đảm bảo an toàn.Phần 1 (ISO/IEC 15408–1) là phần giới thiệu và trình bày về mô hình

tổng quát. Trong phần này có định nghĩa các khái niệm và nguyên tắc chung cho

đánh giá an toàn CNTT, trình bày một mô hình tổng quát cho đánh giá, các cấu

trúc biểu thị các mục tiêu an toàn CNTT, các cấu trúc lựa chọn và xác định các

yêu cầu an toàn CNTT. Nội dung phần 1 đưa ra các thông tin cơ sở và mô hình

tham chiếu khi đánh giá; hướng dẫn lập các đặc tả mức cao cho các sản phẩm và

hệ thống; cấu trúc các hồ sơ bảo vệ và các tập đích an toàn, xây dựng các yêu

cầu và các đặc tính an toàn cho các sản phẩm và hệ thống CNTT.

Phần 2 (ISO/IEC 15408-2) hướng dẫn lập báo cáo các yêu cầu chức năng

an toàn cho các sản phẩm và hệ thống CNTT. Các yêu cầu chức năng an toàn

được chuẩn hóa chung cho các sản phẩm và hệ thống CNTT và được biểu diễn

trong một tập hợp các thành phần chức năng, các họ và các lớp. Phần 2 được

dùng làm tham chiếu cho các tiêu chí đánh giá bắt buộc trong báo cáo về yêu

cầu chức năng an toàn, để xác định xem một sản phẩm hay hệ thống CNTT có

thỏa mãn các tiêu chí đánh giá đã nêu, các chức năng an toàn đã yêu cầu hay

không.

Phần 3 (ISO/IEC 15408-3 hướng dẫn lập báo cáo cấp độ các yêu cầu đảm

bảo an toàn cho các sản phẩm và hệ thống CNTT. Các tiêu chí đảm bảo an toàn

được chuẩn hóa chung cho các sản phẩm và hệ thống CNTT và được biểu diễn

dưới dạng một tập hợp các thành phần, các họ và các lớp trong một hồ sơ bảo vệ

hoặc một tập đích an toàn. Phần 3 được dùng làm tham chiếu cho các tiêu chí

đánh giá bắt buộc trong báo cáo về yêu cầu đảm bảo an toàn, để đánh giá cho

các hồ sơ bảo vệ và các tập đích an toàn, xác định cấp độ đảm bảo an toàn cho

một sản phẩm hay hệ thống CNTT trên cơ sở mức độ thỏa mãn các tiêu chí đánh

giá đã nêu.

Như vậy, trong 3 phần của bộ tiêu chuẩn, phần 1 là phần tổng quan, trình

bày mô hình tổng quát cho đánh giá an toàn thông tin; phần 2 và phần 3 là chi

19

tiết các tiêu chí chung về chức năng an toàn và yêu cầu đảm bảo chung cho các

sản phẩm và hệ thống CNTT. Để đạt được sự so sánh hiệu quả giữa các kết quả

đánh giá, các đánh giá cần được thực hiện theo một khung của mô hình chính

thức trong đó có các tiêu chí đánh giá chung. Điều này làm tăng thêm tính chính

xác, nhất quán và khách quan của kết quả đánh giá.

2.3. Tình hình tiêu chí đánh giá liên quan đến an toàn cho sản phẩm

CNTT

2.3.1. Lịch sử hinh thanh tiêu chí chung (Common Criteria – CC)

Việc nghiên cứu xây dựng tiêu chí đánh giá an toàn CNTT đã được bắt

đầu khá sớm ở Mỹ. Năm 1973, Bộ Quốc phòng Mỹ đã cho công bố Sách hướng

dẫn an toàn máy tính với mục tiêu hướng dẫn phương pháp luận, kỹ thuật, tiêu

chuẩn phân tích, kiểm định các đặc tính an toàn của các hệ thống xử lý dữ liệu

tự động. Trên cơ sở phát triển tiêu chí này, năm 1983 Bộ Quốc phòng Mỹ công

bố Hệ tiêu chí an toàn CNTT, viết tắt là TCSEC (Trust Computer System

Evaluation Criteria), còn gọi là Sách da cam. Trong TCSEC, các tiêu chí hiện

thực hóa cơ chế bảo vệ nhưng chính sách và các yêu cầu cụ thể thì vẫn còn chưa

rõ ràng. Dù vậy TCSEC vẫn là cơ sở cho tất cả các hệ tiêu chí an toàn trên thế

giới sau này.

Năm 1991, trên cơ sở phát triển TCSEC, Cộng đồng châu Âu xây dựng và

công bố hệ tiêu chí ITSEC (Information Technology Security Evaluation

Criteria) với sự tham gia xây dựng của các nước Pháp, Anh, Đức và Hà Lan.

ITSEC phân biệt các tiêu chí chức năng và tiêu chí đảm bảo, đặt trọng tâm vào

các tiêu chí đảm bảo hơn và cách tiếp cận này được nhiều hệ tiêu chí khác sử

dụng. ITSEC đặc biệt chú trọng vào tính đúng đắn trong thực thi các cơ chế an

toàn, phân ra 7 mức đảm bảo theo thứ tự tăng dần về độ an toàn.

Năm 1992, với mục tiêu phát triển hệ tiêu chí cho cả khu vực phi quốc

phòng, Mỹ đã công bố Tiêu chí liên bang về an toàn CNTT (viết tắt là FC - The

Federal Criteria for Information Technology) làm tiêu chuẩn quốc gia. FC là sự

20

cập nhật TCSEC nhưng lần đầu tiên trong tài liệu này đề cập đến khái niệm Hồ

sơ bảo vệ PP (Protection Profile), một trong những khái niệm then chốt của FC

và của Tiêu chí chung CC sau này.

Năm 1993, Canada công bố Hệ tiêu chí an toàn công nghệ thông tin (The

Canadian Trusted Computer Product Evaluation Criteria - CTCPEC). Cũng

giống như ITSEC, CTCPEC tách bạch các yêu cầu chức năng với các yêu cầu

đảm bảo, nhưng các mức kiểm định được phân chi tiết hơn. Đồng thời CTCPEC

đặc biệt chú trọng tương tác giữa các hệ thống con đảm bảo an toàn và phân chia

độc lập các yêu cầu thành các mục để tạo ra tập các tiêu chí riêng đặc trưng cho

công việc của các hệ thống con.

Cùng thời gian này, một số quốc gia khác cũng xây dựng hệ tiêu chí an

toàn như Nhật bản với hệ tiêu chí JCSEC - FR (Japanese Computer Security

Evaluation Criteria -Functionality Requirements) (tháng 8/1992); Khu vực Nam

Thái Bình Dương xây dựng hệ tiêu chí hoàn toàn dựa trên dựa trên ITSEC.

Như vậy, sau gần hai thập kỷ, từ tài liệu sơ khai đầu tiên ra đời năm 1973

tại Mỹ, việc xây dựng tiêu chí an toàn CNTT đã đạt được bước tiến dài, nhiều hệ

tiêu chí đã được xây dựng. Điều đáng nói là do tính kế thừa, các tiêu chí này

chứa những đặc trưng cơ bản chung nhau, đồng thời lại có những đóng góp có

tính phát triển. Giữa chúng cũng có những khác biệt nhất định về quan niệm

cũng như kỹ thuật. Trong bối cảnh như vậy thì việc hợp nhất các hệ tiêu chí

thành hệ tiêu chí chung tạo thuận lợi cho người dùng trên toàn thế giới và giảm

được những chi phí không cần thiết là vấn đề có ý nghĩa lớn. Bởi vậy, năm 1990

tổ chức Tiêu chuẩn hóa quốc tế ISO với sự hỗ trợ của các nước Mỹ, Canada,

Anh, Pháp, Đức đã tiến hành công việc nói trên. Đến năm 1996, phiên bản CC

đầu tiên v1.0 được công bố, sau đó tháng 12/1999, phiên bản CC thứ hai v2.1

được chính thức công bố thành Tiêu chuẩn quốc tế ISO /IEC 15408. Các phiên

bản hoàn thiện tiếp theo được thực hiện trong giai đoạn 2004 - 2006. Phiên bản

CC cuối cùng v3.1 được công bố vào tháng 12/2006 và ngày nay được đại đa số

các nước sử dụng làm cơ sở để đánh giá và thiết kế an toàn hệ thống CNTT.

2.3.2. Khái niệm, bố cục và cấu trúc cơ bản của CC

21

Các khái niệm cốt lõi nhất trong phần thuật ngữ và định nghĩa mà tiêu chuẩn

sử dụng gồm:

Hồ sơ bảo vê (Protection Profiles - PP)Là tài liệu mẫu để xây dựng đích an toàn (ST). Nó giúp nhà phát triển xây

dựng hồ sơ cụ thể cho đối tượng cần được đánh giá, giúp người dùng định

hướng vào một nhóm các yêu cầu an toàn và giúp nhà kiểm định dựa vào đó để

đánh giá sản phẩm. Nếu đích an toàn (ST) được xây dựng cho một đối tượng cụ

thể thì PP lại được xây dựng chung cho một loại đối tượng nào đó. PP mô tả các

yêu cầu chung cho các đích đánh giá (TOE) (ví dụ các thiết bị IDS/IPS, các thiết bị tường lửa, các hê điều hành,...). PP chứa một tập các yêu

cầu an toàn hoặc từ bộ tiêu chuẩn, hoặc được xác định rõ, trong đó có chứa một

cấp đảm bảo đánh giá (EAL). PP thường được phát triển bởi:

- Một nhà phát triển TOE- Chính phủ, tập đoàn- Cộng đồng người dùng

Đích đánh giá (Target Of Evaluation - TOE)Là sản phẩm CNTT được đưa ra để đánh giá (ví dụ như một tập

phần mềm, phần sụn và/hoặc phần cứng có thể kèm theo hướng dẫn). CC qui định sản phẩm là tập hợp các phương tiện CNTT thực

hiện các chức năng nhất định, được sử dụng trực tiếp hoặc tích hợp vào hệ

thống. Như vậy, sản phẩm theo CC được hiểu là đơn lẻ hoặc là hệ thống, vì hệ

thống là sự khai thác sản phẩm trong các điều kiện cụ thể.

TOE có thể là một sản phẩm CNTT, một phần của một sản phẩm CNTT, một tập các sản phẩm CNTT,... hoặc một tổ hợp của các thành phần trên. Dó đó, có thể hiểu TOE chính là sản phẩm CNTT hoặc hê thống CNTT. TOE có thể đạt được hoặc không đạt được các yêu cầu an toàn cần thiết mà ST đưa ra đối với nó.

Ví dụ về các TOE là:

22

- Một ứng dụng phần mềm;- Một hê điều hành;- Một ứng dụng phần mềm kết hợp với một hê điều hành;- Một ứng dụng phần mềm kết hợp với một hê điều hành

và một trạm làm viêc;- Một hê điều hành kết hợp với một trạm làm viêc;- Một mạch tổ hợp thẻ thông minh;- Một bộ đồng xử lý mật mã của một mạch tổ hợp thẻ

thông minh;- Một mạng cục bộ bao gồm tất cả các đấu nối, máy chủ,

thiết bị mạng và phần mềm;Một ứng dụng cơ sở dữ liêu ngoại trừ phần mềm máy

khách từ xa thường kết hợp với ứng dụng cơ sở dữ liêu.Đích an toan (Security Target - ST)

Là một tập dữ liêu chứa các yêu cầu an toàn cho một TOE tương ứng. Ngoài ra ST còn chứa đặc tả về các biên pháp cần thiết cho an toàn về chức năng và biên pháp đảm bảo cho TOE để thỏa mãn các yêu cầu an toàn đã đặt ra. Đồng thời ST là cơ sở để đánh giá TOE.

Đích an toàn được xây dựng sau khi phân tích môi trường an toàn, tức là

phân tích các yếu tố đảm bảo cho an toàn như các mối nguy cơ đe dọa an toàn,

các quy định và chính sách an toàn của tổ chức, kinh nghiệm, kỹ năng và kiến

thức. Đích an toàn bao gồm đích an toàn cho đối tượng và đích an toàn cho môi

trường. Đích an toàn cho đối tượng phải có khả năng đối chiếu được với các mối

đe dọa an toàn mà có thể đối phó bằng các phương tiện kỹ thuật của Đích đánh

giá hoặc bằng chính sách an toàn của tổ chức. Đích an toàn cho môi trường cần

đối chiếu được với các mối đe dọa mà các phương tiện kỹ thuật của đối tượng và

chính sách an toàn không hoàn toàn có khả năng chống đỡ.

23

Các yêu cầu an toàn trong ST có thể tạo thành một tham chiếu tới một hồ

sơ bảo vệ (PP), trực tiếp tham chiếu tới các thành phần chức năng an toàn hoặc

thành phần đảm bảo an toàn.

Như vậy, PP giải thích "cái gì" cần được an toàn thì ST giải thích "làm thế nào". ST chi tiết hơn và có thể đặc tả nhiều hơn so với PP.Sử dụng PP/ST

PP là một phát biểu về một tập hợp chung các nhu cầu an toàn. Vì thế PP

thường được sử dụng như là:

- yêu cầu của người tiêu dùng hoặc nhóm người tiêu dùng (chỉ mua một

loại sản phẩm CNTT nào đó nếu nó đáp ứng PP);

- yêu cầu của cơ quan quản lý (chỉ cho phép sử dụng một loại sản phẩm

CNTT nếu nó đáp ứng PP);

- yêu cầu của nhà phát triển sản phẩm CNTT (chỉ phát triển loại sản phẩm

CNTT đáp ứng các yêu cầu PP).

Ghi chú:

- PP chỉ đặc tả về an toàn và không phải là một đặc tả an toàn chi tiết

(những mô tả chi tiết về thuật toán, các cơ chế, các hoạt động chi tiết...)

- PP là một đặc tả của một kiểu sản phẩm CNTT, không phải là đặc tả của

một sản phẩm đơn lẻ. Sử dụng ST sẽ tốt hơn trong trường hợp muốn đặc

tả một sản phẩm đơn lẻ.

- PP được sử dụng như là "mẫu" của một ST. PP mô tả một tập hợp các nhu

cầu của người sử dụng, trong khi một ST tuân thủ với PP đó mô tả một

TOE thỏa mãn những nhu cầu đó.

- Một PP cũng có thể được sử dụng như là một mẫu cho một PP khác. Có

nghĩa là một PP có thể tuyên bố tuân thủ các PP khác. Trường hợp này là

hoàn toàn tương tự như trường hợp một ST so với một PP.

ISO 15408 không cho phép bất kỳ hình thức tuân thủ từng phần nào, vì

vậy PP hoặc ST phải tuân thủ đầy đủ với các PP tham chiếu. Tuy nhiên, có hai

24

kiểu tuân thủ ("chặt chẽ" và "có thể diễn giải") và kiểu tuân thủ nào sẽ được xác

định bởi PP. Để thực hiện việc này, PP tuyên bố (trong phần Phát biểu tuân thủ

PP) về những kiểu tuân thủ được phép cho ST. Tuân thủ chặt chẽ và tuân thủ có

thể diễn giải được áp dụng riêng biệt cho mỗi PP, có nghĩa là một ST có thể tuân

thủ chặt chẽ với một số PP và tuân thủ có thể diễn giải với một số PP khác. Một

ST chỉ được phép tuân thủ với một PP theo phương thức diễn giải nếu PP này

cho phép một cách rõ ràng điều này, trong khi một ST luôn có thể tuân thủ chặt

chẽ với mọi PP.

Các PP được công bố sẽ thường yêu cầu tuân thủ có thể diễn giải. Điều

này có nghĩa là các ST tuyên bố với PP này sẽ phải đưa ra một giải pháp cho các

vấn đề an toàn chung đã nêu trong PP, song có thể thực hiện điều này theo cách

tương đương hoặc chặt chẽ hơn cách đã mô tả trong PP. “Tương đương nhưng

chặt chẽ hơn” về nguyên tắc có nghĩa là PP và ST có thể chứa các phát biểu

khác hoàn toàn về các thực thể khác, sử dụng các khái niệm khác,... miễn là về

tổng thể phải đạt được mức độ như nhau hoặc hạn chế hơn về TOE và mức độ

như nhau hoặc ít hạn chế hơn về môi trường hoạt động của TOE.

Yêu cầu chức năng an toàn (Security Functional Requirements - SFRs)

Xác định các chức năng an toàn cá nhân có thể được cung cấp bởi một sản

phẩm. Tiêu chuẩn chung đưa ra một danh mục tiêu chuẩn các chức năng như

vậy. Ví dụ: SFR có thể nêu rõ người dùng có vai trò cụ thể có thể được xác thực

như thế nào. Danh sách các SFRs có thể khác nhau từ đánh giá này sang đánh

giá tiếp theo, ngay cả khi hai đích là cùng một loại sản phẩm.

Yêu cầu đảm bảo an toàn (Security Assurance Requirements - SARs)

Mô tả các biện pháp được thực hiện trong quá trình phát triển và đánh giá

sản phẩm để đảm bảo tuân thủ chức năng an toàn được yêu cầu. Ví dụ, một đánh

giá có thể yêu cầu tất cả các mã nguồn được giữ trong một hệ thống quản lý thay

đổi hoặc kiểm tra đầy đủ chức năng được thực hiện. Tiêu chí chung cung cấp

một danh mục các yêu cầu này và các yêu cầu có thể khác nhau từ đánh giá này

sang đánh giá tiếp theo. Yêu cầu đối với các mục tiêu cụ thể hoặc các loại sản

phẩm được ghi lại trong ST và PP tương ứng.

25

Mức đảm bảo đánh giá (Evaluation Assurance Level - EAL)

Tiêu chí chung phân ra 7 mức đảm bảo đánh giá từ EAL 1 đến EAL 7,

cho thấy độ sâu và độ nghiêm ngặt của việc đánh giá an toàn. Trong đó EAL 1

là cơ bản nhất (và do đó chi phí rẻ nhất để thực hiện và đánh giá) và EAL 7 là

mức nghiêm ngặt nhất (và tốn kém nhất).

Bảng 2.3a: Các mức đảm bảo trong tiêu chí chung

Mức đảm bảo trong tiêu chí chung

EAL1 Kiểm thử chức năng

EAL2 Kiểm thử cấu trúc

EAL3 Kiểm tra và kiểm thử có phương pháp

EAL4 Thiết kế, kiểm thử và soát xét có phương pháp

EAL5 Thiết kế và kiểm thử bán chính thức

EAL6 Thiết kế và kiểm thử được xác nhận hợp lệ bán chính thức

EAL7 Thiết kế và kiểm thử được xác nhận hợp lệ chính thức

Bảng 2.3b: So sánh mức đảm bảo giữa các tiêu chuẩn

So sánh mức đảm bảo

Common Criteria EAL1 EAL2 EAL3 EAL4 EAL5 EAL6 EAL7

ITSEC (Europe) - E1 E2 E3 E4 E5 E6

CESG Compusec

Manual No.3- UKL1 UKL2 UKL3 UKL4 UKL5 UKL6

TCSEC (U.S.) - C1 C2 B1 B2 B3 A1

Yêu cầu an toàn

Là kết quả biến đổi đích an toàn thành các yêu cầu cụ thể. Các yêu cầu an

toàn cũng được xác định riêng cho đối tượng và cho môi trường. CC phân biệt

hai loại yêu cầu an toàn: các yêu cầu chức năng và yêu cầu đảm bảo.

26

Các yêu cầu chức năng được đặt ra cho những chức năng của sản phẩm,

có nhiệm vụ duy trì an toàn CNTT và quyết định sự vận hành an toàn mong

muốn của các đối tượng. Ví dụ về yêu cầu chức năng là yêu cầu đối với định

danh, xác thực, kiểm toán an toàn và không chối bỏ nguồn gốc.

Các yêu cầu đảm bảo quy định đối với công nghệ và quá trình thiết kế,

chế tạo, khai thác sản phẩm, xác định mức an toàn tối thiểu phù hợp với đích an

toàn đã công bố. Trong đó, mức an toàn của chức năng được chọn theo: tối

thiểu, trung bình và cao. Mỗi chức năng đòi hỏi thỏa mãn một mức tối thiểu an

toàn tương ứng. Ví dụ, yêu cầu đảm bảo là các đòi hỏi về tính chặt chẽ của quá

trình thiết kế hay xác định những điểm yếu tiềm năng trong sản phẩm và phân

tích ảnh hưởng của nó đến độ an toàn của sản phẩm. Nếu các yêu cầu chức năng

được đặt ra cho các chức năng của sản phẩm thì yêu cầu đảm bảo lại đặt ra cho

hoạt động của nhà thiết kế.

Tiêu chí chung CC thường được bố cục gồm ba nội dung chính:

Nội dung 1: Giới thiệu các quan điểm và nguyên tắc chung đánh giá tính

an toàn của sản phẩm CNTT cũng như mô hình đánh giá tổng quát; giới thiệu

các cấu trúc cơ bản như Đối tượng đánh giá (TOE), Hồ sơ bảo vệ (PP), Mục tiêu

an toàn (ST), các yêu cầu tuân thủ, định nghĩa vấn đề an toàn.

Nội dung 2: “Các yêu cầu chức năng về an toàn”, giới thiệu một cách tổng

thể và hệ thống danh mục các yêu cầu chức năng an toàn và xem xét khả năng

chi tiết hóa chúng cũng như khả năng mở rộng chúng theo một qui tắc nhất định.

Nội dung 3: “Các yêu cầu đảm bảo an toàn” giới thiệu hệ thống danh mục

các yêu cầu đảm bảo an toàn, những yêu cầu này xác định các biện pháp phải

được chấp nhận trên tất cả các giai đoạn chu kỳ sống của sản phẩm CNTT để

đảm bảo rằng chúng đáp ứng các yêu cầu chức năng đã được xác định. Phần này

cũng đã đưa vào thang bảng đánh giá độ an toàn thông qua khái niệm mức đảm

bảo, các mức này cho phép với mức tăng dần về tính đầy đủ và chặt chẽ để tiến

hành đánh giá mức độ an toàn sản phẩm CNTT.

Cấu trúc “lớp - họ - thành phần”

27

Các yêu cầu an toàn được xác định trong tiêu chí chung là sự thể hiện cụ

thể tính an toàn của sản phẩm CNTT. Để phân mức an toàn của TOE trong CC,

các yêu cầu an toàn được phân cấp nhờ sử dụng cấu trúc “lớp - họ - thành phần”,

trong đó cả hai dạng yêu cầu đều được cấu trúc giống nhau.

Lớp được sử dụng để chia nhóm chung nhất các yêu cầu về an toàn, các

thành phần của nhóm có định hướng chung nhưng có thể khác nhau về đích an

toàn. Lớp được chia thành hai loại: lớp chức năng và lớp đảm bảo. Lớp chức

năng được mô tả trong Phần 2 của CC gồm 6 phần; Lớp đảm bảo được mô tả

trong phần 3 của CC gồm 7 phần.

Họ là phần tử của lớp, là nhóm các yêu cầu an toàn có cùng đích an toàn

nào đó nhưng khác nhau về tầm quan trọng và tính chặt chẽ.

Thành phần là tập hợp nhỏ nhất các yêu cầu an toàn. Các thành phần an

toàn thuộc họ có thể được sắp xếp theo thứ tự tăng dần để biểu thị tầm quan

trọng và tính chặt chẽ có cùng mục tiêu, họ cũng có thể tổ chức dưới dạng tập

hợp có thứ tự từng phần. Ví dụ FIA_UAU.5 là thành phần biểu thị các điều kiện

để xác thực lại người dùng.

Giữa các thành phần có thể có các quan hệ phụ thuộc. Các quan hệ phụ

thuộc nảy sinh khi một thành phần không đủ và phải tồn tại khi có mặt thành

phần khác. Các quan hệ phụ thuộc có thể tồn tại giữa các thành phần chức năng,

giữa các thành phần đảm bảo, và giữa các thành phần chức năng và thành phần

đảm bảo.

Các thành phần chức năng và thành phần đảm bảo có thể được áp dụng

chính xác như đã định nghĩa trong chuẩn hoặc có thể cắt gọt theo yêu cầu bằng

việc sử dụng các thao tác được phép để đáp ứng mục tiêu an toàn. Các thao tác

đó là: nhắc lại, ấn định, lựa chọn, chỉnh sửa.

28

Các mức kiểm định (EAL - Evaluation Assurance Level)

Cấu trúc “lớp - họ - thành phần” tổ chức các yêu cầu an toàn theo các

nhóm cùng thực hiện một mục tiêu nào đó. Để xác định mức đảm bảo an toàn

của đối tượng, Tiêu chí chung đề xuất cấu trúc kiểm định gồm 7 mức với ký

hiệu và các tên gọi tương ứng EAL1, EAL2, EAL3, EAL4, EAL5, EAL6, EAL7

xếp theo thứ tự tăng dần mức độ đảm bảo an toàn. Mức đảm bảo an toàn cao

hơn kế thừa mức thấp hơn gần nhất nhưng có yêu cầu cao hơn về thành phần an

toàn. EAL7 là mức kiểm định an toàn cao nhất, ở mức này các yêu cầu an toàn

được tập trung cao nhất và chặt chẽ nhất.

Đảm bảo thông qua đánh giá

Đánh giá là phương thức truyền thống để đạt được sự đảm bảo và là cơ sở

tiếp cận của TCVN 15408. Các kỹ thuật đánh giá có thể bao gồm,nhưng không

hạn chế ở các nội dung sau:

a) Phân tích và kiểm tra các tiến trình và các thủ tục;

b) Kiểm tra xem các tiến trình và thủ tục đã được áp dụng chưa;

c) Phân tích tính tương hợp giữa các mô tả thiết kế TOE;

d) Phân tích mô tả thiết kế TOE so với các yêu cầu;

e) Xác minh các bằng chứng;

f) Phân tích các tài liệu hướng dẫn;

g) Phân tích các bài kiểm thử chức năng đã thiết lập và các kết quả đạt được;

h) Kiểm thử chức năng độc lập;

i) Phân tích các điểm yếu (bao gồm các giả thiết về khiếm khuyết);

j) Kiểm thử độ thẩm thấu (penetration testing).

Khi có nhiều nỗ lực đánh giá hơn thì sẽ đạt được các kết quả bảo

đảm hơn. Mức độ tăng dần các nỗ lực được xem xét dựa trên phạm vi

(phần sản phẩm IT được bao hàm), độ chuyên sâu (vào chi tiết của thiết

kế và thực thi), độ chuẩn xác (phương pháp thực hiện có cấu trúc, chính

thống).

2.3.3. Tình hình hồ sơ bảo vệ trên thế giới

29

Các phiên bản của CC

- Phiên bản 1.0 của CC được xuất bản vào năm 1996.

- Phiên bản 2.0 đã được soát xét và thử nghiệm rộng rãi trong hai năm tiếp

theo và được xuất bản vào tháng 5 năm 1998. Phiên bản 2.0 đã được Tổ

chức Tiêu chuẩn Quốc tế (ISO) chấp nhận như là một tiêu chuẩn quốc tế

(ISO 15408) vào năm 1999.

- Phiên bản 2.1 của CC xuất bản vào 08/1999 (tiêu chuẩn không chính

thức).

- Phiên bản 2.2 của CC xuất bản 01/2004 (phiên bản này không được chấp

nhận như một tiêu chuẩn ISO).

- Phiên bản 2.3 của CC xuất bản vào tháng 08/2005. Bản này đã được xuất

bản theo tiêu chuẩn ISO / IEC 15408: 2005.

- Phiên bản 3.0 của CC xuất bản vào tháng 06/2005 (dự thảo chính thức

đầu tiên của phiên bản 3.0 của Tiêu chuẩn Chung đã được đưa ra để sử

dụng cho việc bình luận và sử dụng thử nghiệm công khai (thông qua

tháng 12 năm 2005)).

- Phiên bản 3.1 của CC xuất bản vào tháng 09/2006

o Phiên bản 3.1 sửa đổi 2 của CC xuất bản vào tháng 09/2007



Các thành viên chủ chốt của CC

Thành viên CCRA hiện nay gồm 17 thành viên chủ chốt: ÚC, Canada,

Pháp, Đức, Ấn độ, Ý, Nhật, Malaysia,Hà Lan, Newzealand, Nauy, Hàn Quốc,

Tây ban nha, Thụy điển, Thổ Nhĩ kỳ, Anh, Mỹ và 11 thành viên chi phối: Áo,

TIệp, Đan Mạch, Etiopia, Phần Lan, Hy lạp, Hungary, Israel, Quatar, Pakistan,

Singapore (các tổ chức chứng nhận, các Bộ, các cơ quan quản lý, cơ quan về an

toàn thông tin của các quốc gia).

Nguồn: https://www.commoncriteriaportal.org/ccra/members/

66 phòng lab được cấp phép bao gồm: Úc (02), Canada (04), Pháp (06),

Đức (09), Ấn độ (01), Ý (06), Nhật (05), Malaysia (02), Hà lan (02), Nauy (04),

30

https://www.commoncriteriaportal.org/ccra/members/

Hàn Quốc (06), Tây Ban Nha (03), Thụy điển (02), Thổ Nhĩ Kỳ (05), Anh (02),

Mỹ (09).

Nguồn: https://www.commoncriteriaportal.org/labs/

Hiện tại tổ chức CC đã có 531 Hồ sơ bảo vệ được chia thành 15 nhóm

danh mục sản phẩm khác nhau như được trình bày trong bảng dưới đây:

357 danh mục hồ sơ bảo vê(Một hồ sơ bảo vệ có thể có nhiều danh mục liên kết với nó)

Danh mục PPs

Archived

Access Control Devices and Systems 10 7Biometric Systems and Devices 7 5Boundary Protection Devices and Systems 37 24Data Protection 17 4Databases 10 7Detection Devices and Systems 17 17ICs, Smart Cards and Smart Card-Related Devices and Systems

90 20

Key Management Systems 15 11Mobility 9 5Multi-Function Devices 5 3Network and Network-Related Devices and Systems 36 22Operating Systems 17 15Other Devices and Systems 66 18Products for Digital Signatures 21 2Trusted Computing 10 4

Tổng: 367

164

Tổng cộng: 531

Đôi nét một số hồ sơ bảo vệ của các quốc gia trên thế giới

- Hoa kỳ

31

https://www.commoncriteriaportal.org/labs/

Hiệp hội bảo đảm thông tin quốc gia (National Information Assurance

Partnership - NIAP) chịu trách nhiệm thực hiện các Tiêu chuẩn Chung của Hoa

Kỳ, bao gồm cả việc quản lý của tổ chức xác nhận Tiêu chuẩn và Đánh giá Tiêu

chuẩn của NIAP (CCEVS). NIAP quản lý một chương trình quốc gia về xây

dựng hồ sơ bảo vệ, các phương pháp đánh giá và các chính sách nhằm đảm bảo

các yêu cầu khả thi, có thể lặp lại và có thể kiểm chứng được. NIAP áp dụng

cách tiếp cận cộng tác để phát triển hồ sơ bảo vệ công nghệ cụ thể bằng cách hỗ

trợ tạo ra các cộng đồng kỹ thuật quốc tế của các đại diện từ ngành công nghiệp,

chính phủ, người dùng cuối và học viện.

- Nhật Bản

Cục thúc đẩy công nghệ thông tin Nhật Bản (Information-technology

promotion agency, japan - IPA) là cơ quan hành chính từ ngày 5/1/2004, là tổ

chức có trách nhiệm xây dựng các tài liệu, tổ chức đánh giá và đưa ra khuyến

nghị nhằm nâng cao độ tin cậy của các sản phẩm công nghệ thông tin, hỗ trợ các

cơ quan chính phủ và các doanh nghiệp trong việc điều tra các yêu cầu mua sắm

sản phẩm công nghệ thông. Với vai trò là thành viên chủ chốt của Common

Criteria Recognition Arrangement (CCRA) từ năm 2008. IPA đã dịch một phần

các tài liệu hồ sơ bảo vệ (trong đó có hồ sơ bảo vệ hệ điều hành cho mục đích

chung) và xuất bản trên trang web của IPA từ ngày 23/4/2012.

- Singapore

Cục an ninh mạng Singapore (Cyber Security Agency of Singapore –

CSA) được thành lập ngày 1/4/2015, là cơ quan quốc gia giám sát chiến lược an

ninh mạng, hoạt động, giáo dục, tiếp cận cộng đồng, và phát triển hệ sinh thái.

Đây là một phần của Văn phòng Thủ tướng Chính phủ và do Bộ Thông tin và

Truyền thông quản lý.

Với vai trò tăng cường nhận thức về an ninh không gian mạng thông qua các

chương trình tiếp cận công cộng và phát triển hệ sinh thái bảo mật theo thiết kế -

Phát triển một hệ sinh thái an ninh mạng hiệu quả

32

Bảo đảm sản phẩm, theo đó các sản phẩm được đánh giá và chứng nhận dựa trên

các tiêu chuẩn quốc tế như Common Criteria (CC), là một phần của phương

pháp tiếp cận Bảo mật theo Thiết kế để giảm bề mặt tấn công

Hệ thống Tiêu chí Chung của Singapore (The Singapore Common Criteria

Scheme - SCCS) được thành lập để cung cấp một chế độ hiệu quả về chi phí cho

ngành công nghiệp truyền thông thông tin để đánh giá và chứng nhận sản phẩm

CNTT của họ so với tiêu chuẩn CC tại Singapore. SCCS được sở hữu và quản lý

bởi Cơ quan An ninh Mạng của Singapore (CSA).

- Trung quốc

Trung quốc không phải là thành viên của CCRA nhưng cũng đã xây dựng

tiêu chuẩn quốc gia về tiêu chuẩn đánh giá an toàn hệ điều hành (tiêu chuẩn

GB/T 20008-2005- Information security technology - Operating systems

security evaluation criteria)

Tiêu chuẩn này được soạn thảo bởi Trung tâm Nghiên cứu Kỹ thuật

Quốc gia của kỹ thuật phần mềm đại học Bắc Kinh. Cơ quan ban hành là

Tổng cục Giám sát chất lượng, kiểm tra và kiểm định của nước Cộng hòa

Nhân dân của Trung Quốc, Ủy ban Tiêu chuẩn Quốc gia Trung Quốc.

Tiêu chuẩn này quy định năm bảo mật theo mức độ bảo vệ GB

17859-1999 của cấp độ bảo vệ bảo mật hệ điều hành cần thiết để đánh giá

nội dung. Tiêu chuẩn này áp dụng cho đánh giá mức độ bảo mật của các

hệ điều hành cho mục đích chung để nghiên cứu, phát triển và thử nghiệm

cũng có thể tham khảo khi sử dụng.

- Đức

Văn phòng Liên bang Đức về An ninh Thông tin là cơ quan an ninh mạng

quốc gia phát triển an ninh thông tin trong quá trình số hóa thông qua phòng

ngừa, phát hiện và phản ứng đối với chính phủ, doanh nghiệp và xã hội. Hệ

thống Tiêu chí Chung của của Đức cũng được xây dựng như hồ sơ bảo vệ cho

hệ điều hành (Operating System Protection Profile) được phát hành ngày

02/06/2010.

33

2.4. Hoạt động đảm bảo an toan thông tin

Thông tin được lưu trữ bởi các sản phẩm và hê thống Công nghê thông tin (CNTT) là một tài nguyên quan trọng cho sự thành công của tổ chức đó, là tài sản của tổ chức hay một cá nhân. Thông tin lưu trữ trong hê thống thông tin cần được bảo vê và không bị thay đổi khi không được phép. Trong khi các sản phẩm và hê thống CNTT thực hiên các chức năng của chúng, các thông tin cần được kiểm soát để đảm bảo chúng được bảo vê chống lại các nguy cơ, ví dụ như viêc phổ biến và thay đổi thông tin trái phép, nguy cơ rò rỉ, lộ lọt thông tin.

An toan thông tin là an toàn kỹ thuật cho các hoạt động của các cơ sở hạ tầng thông tin, trong đó bao gồm an toàn phần cứng và phần mềm theo các tiêu chuẩn kỹ thuật do nhà nước ban hành; duy trì các tính chất bí mật, toàn vẹn, chính xác, sẵn sàng phục vụ của thông tin trong lưu trữ, xử lý và truyền tải trên mạng (theo định nghĩa trong Nghị định 64-2007/NĐ-CP).

Thuật ngữ an toan CNTT thường sử dụng để chỉ viêc ngăn chặn và làm giảm nhẹ các mối nguy hại tương tự đối với các sản phẩm và hê thống CNTT.

Mục tiêu hướng tới của người dùng là bảo vê các tài sản nói trên. Tuy nhiên, các sản phẩm và hê thống thường luôn tồn tại những điểm yếu dẫn đến những rủi ro có thể xảy ra, làm tổn hại đến giá trị tài sản thông tin. Các đối tượng tấn công có chủ tâm đánh cắp, lợi dụng hoặc phá hoại tài sản của các chủ sở hữu, tìm cách khai thác các điểm yếu để tấn công, tạo ra các nguy cơ và các rủi ro cho các hê thống.

Với các biên pháp an toàn thông tin, người dùng có được công cụ trong tay để xác định và giảm thiểu các điểm yếu, ngăn chặn các nguy cơ tấn công, làm giảm các yếu tố rủi ro. Như vậy,

34

các biên pháp và kỹ thuật đảm bảo an toàn thông tin chính là mang lại sự tin cậy cho các sản phẩm và hê thống.

Đảm bảo an toan thông tin là đảm bảo an toàn kỹ thuật cho hoạt động của các cơ sở hạ tầng thông tin, trong đó bao gồm đảm bảo an toàn cho cả phần cứng và phần mềm hoạt động theo các tiêu chuẩn kỹ thuật do nhà nước ban hành; ngăn ngừa khả năng lợi dụng mạng và các cơ sở hạ tầng thông tin để thực hiên các hành vi trái phép gây hại cho cộng đồng, phạm pháp hay khủng bố; đảm bảo các tính chất bí mật, toàn vẹn, chính xác, sẵn sàng phục vụ của thông tin trong lưu trữ, xử lý và truyền tải trên mạng.

Như vậy khái niêm đảm bảo an toàn thông tin bao hàm đảm bảo an toàn cho cả phần cứng và phần mềm. An toàn phần cứng là bảo đảm hoạt động cho cơ sở hạ tầng thông tin. An toàn phần mềm gồm các hoạt động quản lý, kỹ thuật nhằm bảo vê hê thống thông tin, đảm bảo đảm cho các hê thống thực hiên đúng chức năng, phục vụ đúng đối tượng một cách sẵn sàng, chính xác, tin cậy. An toàn công nghê thông tin là đảm bảo an toàn kỹ thuật cho các sản phẩm, dịch vụ và hê thống công nghê thông tin.

3. Ly do va mục đích xây dựng tiêu chuân3.1. Ly do xây dựng tiêu chuân

An toàn thông tin đang trở thành mối lo ngại và nguy cơ tiềm ẩn, tin tặc có thể truy cập vào các hê thống thông tin của các cơ quan, tổ chức từ mọi nơi trên thế giới. Hiểm họa về mất an toàn thông tin cho các hê thống thông tin ngày càng tăng cao, đa dạng về kiểu tấn công với xu hướng tấn công vào các tổ chức, cơ quan trọng yếu như: tài chính, ngân hàng, cơ quan chính phủ,…Tình hình an toàn thông tin diễn ra phức tạp, tiềm

35

ẩn nhiều nguy cơ đối với an toàn thông tin quốc gia và trật tự an toàn xã hội như cuộc tấn công vào Cảng hàng không Viêt Nam, Sân bay quốc tế tân sơn nhất, sân bay quốc tế nội bài (tháng 7/2016) và một số sân bay: Đà Nẵng, Phú Quốc, Rạch Giá, Tuy Hòa vào tháng 03/2017.

Tháng 1/2010, Thủ tướng chính phủ đã ký quyết định phê duyêt “Quy hoạch phát triển an toàn thông tin số quốc gia đến năm 2020”. Một trong những nhiêm vụ trong Quy hoạch là xây dựng và ban hành hê thống tiêu chuẩn an toàn thông tin quốc gia làm cơ sở cho viêc đảm bảo an toàn thông tin trong giai đoạn 2010-2015, đáp ứng các nhu cầu đảm bảo an toàn thông tin đang hết sức cấp bách trong thực tiễn.

Tại Viêt Nam đã tiêu chuẩn về tiêu chí đánh giá chung và phương pháp đánh giá cho các sản phẩm công nghê thông tin như bộ tiêu chuẩn TCVN 8709:2011 (03 phần) và TCVN 11386:2016 từ rất sớm. Nhưng hiên tại chưa có tiêu chuẩn đánh giá cho từng sản phẩm công nghê thông tin, an toàn thông tin cụ thể nào.

Một nhu cầu thực tế đặt ra là làm thế nào để biết các sản phẩm công nghê thông tin có tin cậy hay không, có áp dụng các biên pháp và kỹ thuật an toàn phù hợp hay không, mức độ an toàn như thế nào? Đánh giá an toàn thông tin chính là để đáp ứng nhu cầu đó, nhằm cung cấp bằng chứng về viêc đảm bảo an toàn cho các sản phẩm.

Mặt khác, nhiều người dùng không có đủ kiến thức, chuyên môn để đánh giá về sự an toàn của các sản phẩm CNTT và cũng không thể chỉ dựa vào cam kết của nhà phát triển. Bởi vậy, viêc đánh giá an toàn thông tin là một nhu cầu thực tế, giúp xác định xem sản phẩm CNTT có đủ an toàn và tin cậy trước khi đưa vào sử dụng, các rủi ro an toàn tiềm ẩn khi sử dụng có chấp

36

nhận được hay không, hoặc các sản phẩm có áp dụng các biên pháp và kỹ thuật an toàn phù hợp hay không, mức độ an toàn đáp ứng được ở mức độ nào, yêu cầu chính sách hỗ trợ bảo trì, cập nhật, nâng cấp các sản phẩm CNTT khi xảy ra lỗi hay các lỗ hổng tồn tại trong sản phẩm CNTT.

Đó là những lý do cho viêc xây dựng tiêu chuẩn này.

3.2. Mục đích xây dựng tiêu chuân

Giúp nhà phát triển xây dựng hồ sơ cụ thể cho đối tượng cần được đánh

giá, giúp người tiêu dùng định hướng vào một nhóm các yêu cầu an toàn và giúp

nhà kiểm định dựa vào đó để đánh giá sản phẩm. Cung cấp tiêu chuẩn về yêu

cầu kỹ thuật an toàn cho hệ điều hành. Hoàn thiện Bộ tiêu chuẩn quốc gia về an

toàn thông tin.

4. Phạm vi va khả năng áp dụng

Nhờ tính khái quát cao, Tiêu chí chung CC có khả năng ứng dụng rộng rãi cho nhiều đối tượng khác nhau, trong đó ba đối tượng chính là người tiêu dùng (người sử dụng sản phẩm CNTT), người phát triển sản phẩm (gọi tắt là người phát triển) và người đánh giá (hay người kiểm định).

Ba nhóm người có mối quan tâm chung trong đánh giá các thuộc tính an toàn của các sản phẩm và hệ thống CNTT là: Người tiêu dùng TOE, nhà phát triển TOE và người đánh giá TOE. Các tiêu chí được trình bày trong tài liệu này được xây dựng để hỗ trợ nhu cầu của cả ba nhóm trên.

Người tiêu dùng

Tiêu chuẩn này được biên soạn nhằm đảm bảo rằng, việc đánh giá thỏa mãn các nhu cầu của người tiêu dùng và coi đó là mục đích cơ bản, là lý do cho quy trình đánh giá.

Người tiêu dùng có khả năng sử dụng kết quả đánh giá để giúp quyết định xem sản phẩm hoặc hệ thống đã đánh giá có thỏa mãn các nhu cầu an toàn của họ hay không. Những nhu cầu an toàn này thường được

37

xác định qua kết quả của cả việc phân tích rủi ro và định hướng chính sách. Người tiêu dùng cũng có thể sử dụng các kết quả đánh giá để so sánh các TOE khác nhau.

Hồ sơ bảo vệ hệ điều hành mang lại cho người tiêu dùng - đặc biệt cho các nhóm người tiêu dùng và cộng đồng quan tâm - một cấu trúc độc lập với việc triển khai, được gọi là Hồ sơ bảo vệ (Protected Profile - PP), trong đó biểu thị các yêu cầu của họ về an toàn theo một cách rõ ràng.

Như vậy, đối với người tiêu dùng, CC hỗ trợ về phương pháp lựa chọn yêu cầu an toàn đáp ứng nhu cầu sử dụng của họ. Kết quả đánh giá sản phẩm cho phép người tiêu dùng quyết định có nên sử dụng sản phẩm hay không. Nhờ tính phân cấp các yêu cầu an toàn trong CC người tiêu dùng có thể so sánh các sản phẩm khác nhau và từ đó có thể lựa chọn cho mình sản phẩm phù hợp.

Các nhà phát triển

Hồ sơ bảo vệ hệ điều hành hỗ trợ các nhà phát triển trong việc chuẩn bị và trợ giúp đánh giá các sản phẩm hoặc hệ thống, trong xác định các yêu cầu an toàn cần thỏa mãn cho các TOE. Các yêu cầu này được chứa trong một kết cấu phụ thuộc vào việc triển khai, được gọi là Đích An toàn (Security Target - ST). Kết cấu ST này có thể dựa vào một hoặc nhiều PP để chỉ ra rằng ST tuân thủ các yêu cầu an toàn từ phía người tiêu dùng như đã sắp đặt trong các PP này.

Như vậy, đối với nhà phát triển hoặc người thiết kế, CC hỗ trợ trong việc chuẩn bị đánh giá sản phẩm của mình, cũng như trong việc thiết lập các yêu cầu an toàn mà sản phẩm dự kiến thiết kế cần đáp ứng. CC có thể sử dụng để xác định trách nhiệm và nhiệm vụ trong việc chuẩn bị các hồ sơ trình cơ quan đánh giá và cấp chứng nhận sản phẩm.

Người đánh giá

Hồ sơ bảo vệ hệ điều hành chứa các tiêu chí được người đánh giá sử dụng khi lập ra các phán xét về sự tuân thủ của các TOE theo các yêu cầu an toàn của chúng. Hồ sơ bảo vệ hệ điều hành mô tả một tập hợp các công việc chung mà người đánh giá cần thực hiện và các chức năng an toàn, căn cứ theo đó để thực hiện các công việc trên.

38

Như vậy, đối với người đánh giá, CC chứa các tiêu chí mà họ có thể sử dụng khi kết luận sự phù hợp của đối tượng đánh giá với các yêu cầu an toàn mà người thiết kế công bố. Trong CC mô tả các hoạt động cơ bản mà người đánh giá phải tiến hành.

Các đối tượng khác

Ngoài ra, CC còn là tài liệu tra cứu cho nhưng ai quan tâm đến vấn đề an toàn CNTT cũng như những người chịu trách nhiệm về trạng thái kỹ thuật của thiết bị CNTT, những cán bộ của các cơ quan an ninh chịu trách nhiệm soạn thảo và giám sát chính sánh an toàn, những cơ quan đánh giá có trách nhiệm hướng dẫn và đánh giá trong lĩnh vực an toàn CNTT.

Hồ sơ bảo vệ hệ điều hành hướng tới việc định rõ và đánh giá các thuộc tính an toàn CNTT của các TOE, đồng thời nó cũng có thể là một tài liệu tham khảo hữu ích cho tất cả những ai quan tâm đến hoặc có trách nhiệm về an toàn CNTT. Một vài nhóm đối tượng quan tâm khác cũng có khả năng có lợi ích từ các thông tin trong Hồ sơ bảo vệ hệ điều hành bao gồm:

a) Các nhân viên bảo vệ hệ thống và các nhân viên an toàn hệ thống, những người có trách nhiệm trong việc xác định và đáp ứng các chính sách và yêu cầu an toàn CNTT cho tổ chức.

b) Các kiểm toán viên, cả bên trong và bên ngoài, có trách nhiệm lượng giá mức tương xứng về an toàn của một hệ thống.

c) Các nhân viên thiết kế và xây dựng hệ thống, có trách nhiệm định rõ nội dung an toàn cho các sản phẩm và hệ thống CNTT.

d) Những người được ủy quyền, có trách nhiệm chấp thuận việc một giải pháp CNTT đưa vào sử dụng trong một môi trường cụ thể.

e) Những người bảo trợ đánh giá, có trách nhiệm yêu cầu và hỗ trợ việc đánh giá.

f) Các cơ quan đánh giá, có trách nhiệm quản lý và giám sát các chương trình đánh giá an toàn CNTT.

Mặc dù độ an toàn của sản phẩm CNTT trong một chừng mực đáng kể phụ thuộc vào các biện pháp tổ chức - hành chính như: quản lý nhân sự, bảo vệ vật lý, kiểm tra thực hiện qui định; các thủ tục cấp chứng nhận các sản phẩm

39

CNTT cũng như các vấn đề về tổ chức áp dụng CC, song những vấn đề này không thuộc phạm vi áp dụng của CC. Trong Tiêu chí chung không xem xét trực tiếp các khía cạnh an toàn đặc thù mang tính bảo vệ vật lý như kiểm tra bức xạ điện từ mặc dù một số quan điểm của CC có liên quan đến lĩnh vực này. CC cũng không xem xét chất lượng các thuật toán mật mã, bởi vậy nếu xuất hiện vấn đề đánh giá chất lượng các thuật toán mật mã được tích hợp trong đối tượng đánh giá thì phải xem xét trước vấn đề đánh giá độc lập theo những tiêu chí khác dành cho chúng.

5. Sở cứ xây dựng tiêu chuân5.1. Lựa chon tiêu chuân tham chiếu

Nhóm thực hiên đã xây dựng Tiêu chuẩn này được xây dựng dựa trên tài liêu “Protection Profile for General Purpose Operating Systems” (phiên bản 4.1 ngày 09 tháng 03 năm 2016). Đây cũng là tài liêu đã được nhiều quốc gia trên thế giới sử dụng làm tài liêu để tham chiếu và xây dựng tiêu chuẩn quốc gia tương đương.

5.2. Phương pháp xây dựng tiêu chuân

Trên cơ sở rà soát các tiêu chuẩn Viêt nam và quốc tế về tiêu chuẩn kỹ thuật nói chung và tiêu chuẩn ký thuật an toàn cho các sản phẩm công nghê thông tin nói riêng, cũng như tham khảo các phương pháp xây dựng các tiêu chuẩn/quy chuẩn, nhóm chủ trì đã xây dựng dự thảo tiêu chuẩn “Yêu câu kỹ thuật an toàn hê điều hành” theo phương pháp chấp thuận nguyên vẹn về nội dung của “Protection Profile for General Purpose Operating Systems” (có chỉnh sửa về thể thức trình bày theo quy định hiên hành về trình bày Tiêu chuẩn quốc gia).

5.3. Tai Liêu Kham Khảo

40

[1] CCMB-2012-09-001, Version 3.1 Revision 4, September 2012, Common Criteria for Information Technology Security Evaluation, Part 1: Introduction and General Model.[2] CCMB-2012-09-002, Version 3.1 Revision 4, September 2012, Common Criteria for Information Technology Security Evaluation, Part 2: Security Functional Components.[3] CCMB-2012-09-003, Version 3.1 Revision 4, September 2012, Common Criteria for Information Technology Security Evaluation, Part 3: Security Assurance Components.[4] CCMB-2012-09-004, Version 3.1, Revision 4, September 2012, Common Evaluation Methodology for Information Technology Security - Evaluation Methodology.[5] CESG - End User Devices Security and Configuration Guidance.[6] H.R. 145, June 11, 1987, Computer Security Act of 1987,[7] OMB M-06-19, July 12, 2006, Reporting Incidents Involving Personally Identifiable Information and Incorporating the Cost for Security in Agency Information Technology Investments,[8] TCVN 11238:2015 (ISO/IEC 27000:2014), Công nghê thông tin - Các kỹ thuật an toàn - Hê thống quản lý an toàn thông tin - Tổng quan và từ vựng.[9] TCVN 8709-1:2011 ISO/IEC 15408-1:2009 Công nghê thông tin - Các kỹ thuật an toàn- Các tiêu chí đánh giá an toàn CNTT - Phần 1: Giới thiêu và mô hình tổng quát[10] TCVN 8709-2:2011 ISO/IEC 15408-2:2008 Công nghê thông tin - Các kỹ thuật an toàn- Các tiêu chí đánh giá an toàn CNTT - Phần 2: Các thành phần chức năng an toàn[11] TCVN 8709-3:2011 ISO/IEC 15408-3:2008 Công nghê thông tin - Các kỹ thuật an toàn - Các tiêu chí đánh giá an toàn CNTT - Phần 3: Các thành phần đảm bảo an toàn.

41

[12] TCVN 11386:2016 (ISO/IEC 18045:200), Công nghê thông tin - Các kỹ thuật an toàn - Phương pháp đánh giá an toàn công nghê thông tin.

6. Nội dung dự thảo tiêu chuân kỹ thuật6.1. Giới thiêu tiêu chuân yêu cầu kỹ thuật an toan hê

điều hanh

Dự thảo tiêu chuẩn được xây dựng dựa trên Hồ sơ bảo vê hê điều hành cho mục đích chung (Protection Profile for General Purpose Operating Systems) được công bố ngày 09/03/2016 là phiên bản mới nhất của hồ sơ bảo vê này.

6.2. Cấu trúc Dự thảo tiêu chuân

Tiêu chuẩn này với nội dung cụ thể như sau:0. LƠI GIƠI THIÊU1. PHẠM VI ÁP DỤNG2. TÀI LIÊU VIÊN DẪN3. THUẬT NGỮ VÀ ĐỊNH NGHĨA4. THUẬT NGỮ VIÊT TĂT5. TUÂN THỦ ĐÍCH ĐÁNH GIÁ VÀ CÁC TRƯƠNG HỢP SỬ DỤNG5.1 Giới hạn đích đánh giá (TOE) 5.2 Nền tảng đích đánh giá (TOE) 5.3 Trường hợp sử dụng6. YÊU CẦU TUÂN THỦ7. ĐỊNH NGHĨA VẤN ĐỀ AN TOÀN7.1 Mối đe doạ7.2 Giả định8. MỤC TIÊU AN TOÀN8.1 Mục tiêu an toàn cho TOE8.2 Mục tiêu an toàn cho môi trường hoạt động8.3 Cơ sở mục tiêu an toàn

42

9. YÊU CẦU AN TOÀN9.1 Yêu cầu chức năng an toàn9.1.1Hỗ trợ mã hoá (FCS)9.1.2Bảo vê dữ liêu người dùng (FDP)9.1.3Quản lý bảo mật (FMT)9.1.4Sự bảo vê của TSF (FPT)9.1.5Kiểm toán dữ liêu (FAU)9.1.6Xác định và xác thực (FIA)9.1.7Đường dẫn/Kênh tin cậy (FTP)9.2 Các yêu cầu đảm bảo an toàn9.2.1Lớp ASE: Đích an toàn9.2.2Lớp ADV: Sự phát triển9.2.3Lớp AGD: Tài liêu hướng dẫn9.2.4Lớp ALC: Hỗ trợ vòng đời9.2.5Lớp ATE: Các kiểm thử9.2.6Lớp AVA: Đánh giá lỗ hổngPHỤ LỤC A Các yêu cầu tùy chọn (tham khảo)PHỤ LỤC B Các yêu cầu dựa trên lựa chọn (tham khảo)PHỤ LỤC C Các yêu cầu đối tượng (tham khảo)PHỤ LỤC D Các yêu cầu thoả mãn (tham khảo)PHỤ LỤC E Tài liêu và đánh giá ngẫu nhiên (tham khảo)E.1 Mô tả thiết kếE.2 Chứng minh ngẫu nhiênE.3 Điều kiên hoạt độngE.4 Kiểm tra sức khỏeTÀI LIÊU THAM KHAO

6.3. Bảng đối chiếu tiêu chuân viên dẫn

43

Dự thảo tiêu chuẩn TCVN XXXX:2017 được xây dựng dựa trên tài liêu kỹ thuật quốc tế, có chỉnh sửa theo cách trình bày tiêu chuẩn quốc gia.

Nội dung tiêu chuân Tai liêu viên dẫn Sửa đổi, bổ sung

0 Lời giới thiêu Chấp nhận nguyên vẹn

1 Phạm vi áp dụng 1.1 Overview Chấp nhận nguyên vẹn

2 Tài liêu viên dẫn Chấp nhận nguyên vẹn

3 Thuật ngữ và định nghĩa

1.2 Terms Chấp nhận nguyên vẹn

4 Thuật ngữ viết tắt G. Acronyms Chấp nhận nguyên vẹn

5 Tuân thủ đích đánh giá và các trường hợp sử dụng

1.3 Compliant Targets of Evaluation and Use Cases

Chấp nhận nguyên vẹn

5.1 Giới hạn đích đánh giá

1.3.1 TOE Boundary Chấp nhận nguyên vẹn

5.2 Nền tảng đích đánh giá

1.3.2 TOE Platform Chấp nhận nguyên vẹn

5.3 Trường hợp sử dụng

1.4 Use Cases Chấp nhận nguyên vẹn

6 Yêu cầu tuân thủ 2. Conformance Claims


7 Định nghĩa vấn đề an toàn

3. Security Problem Definition


7.1 Mối đe doạ 3.1 Threats Chấp nhận nguyên vẹn

7.2 Giả định 3.2 Assumptions Chấp nhận nguyên vẹn

44


8 Mục tiêu an toàn 4. Security Objectives Chấp nhận nguyên vẹn

8.1 Mục tiêu an toàn cho TOE

4.1 Security Objectives for the TOE


8.2 Mục tiêu an toàn cho môi trường hoạt động

4.2 Security Objectives for the Operational Environment


8.3 Cơ sở mục tiêu an toàn

4.3 Security Objectives Rationale


9 Yêu cầu an toàn 5. Security Requirements


9.1 Yêu cầu chức năng an toàn

5.1 Security Functional Requirements


9.1.1 Hỗ trợ mã hoá (FCS)

5.1.1 Cryptographic Support (FCS)


9.1.2 Bảo vê dữ liêu người dùng (FDP)

5.1.2 User Data Protection (FDP)


9.1.3 Quản lý bảo mật (FMT)

5.1.3 Security Management (FMT)


9.1.4 Sự bảo vê của TSF (FPT)

5.1.4 Protection of the TSF (FPT)


9.1.5 Kiểm toán dữ liêu (FAU)

5.1.5 Audit Data Generation (FAU)


9.1.6 Xác định và xác thực (FIA)

5.1.6 Identification and Authentication (FIA)


9.1.7 Đường dẫn/Kênh tin cậy (FTP)

5.1.7 Trusted Path/Channels (FTP)


9.2 Các yêu cầu đảm bảo an toàn

5.2 Security Assurance

Chấp nhận nguyên

45


Requirements vẹn9.2.1 Lớp ASE: Đích an toàn

5.2.1 Class ASE: Security Target


9.2.2 Lớp ADV: Sự phát triển

5.2.2 Class ADV: Development


9.2.3 Lớp AGD: Tài liêu hướng dẫn

5.2.3 Class AGD: Guidance Documentation


9.2.4 Lớp ALC: Hỗ trợ vòng đời

5.2.4 Class ALC: Life-cycle Support


9.2.5 Lớp ATE: Các kiểm thử

5.2.5 Class ATE: Tests Chấp nhận nguyên vẹn

9.2.6 Lớp AVA: Đánh giá lỗ hổng

5.2.6 Class AVA: Vulnerability Assessment


Phụ lục A Các yêu cầu tuỳ chọn

A. Optional Requirements


Phụ lục B Các yêu cầu dựa trên lựa chọn

B. Selection-Based Requirements


Phụ lục C Các yêu cầu đối tượng

C. Objective Requirements


Phụ lục D Các yêu cầu thoả mãn

D. Inherently Satisfied Requirements


Phụ lục E Tài liêu và đánh giá ngẫu nhiên

E. Entropy Documentation and Assessment


E.1 Mô tả thiết kế E.1 Design Description Chấp nhận nguyên vẹn

E.2 Chứng minh ngẫu nhiên

E.2 Entropy Justification


E.3 Điều kiên hoạt E.3 Operating Chấp nhận nguyên

46


động Conditions vẹnE.4 Kiểm tra sức khoẻ E.4 Health Testing Chấp nhận nguyên

vẹn

Tài liêu tham khảo F. References Chấp nhận nguyên vẹn

7. Kết luận

Đảm bảo an toàn an toàn thông tin là một nhu cầu thiết thực để thúc đẩy và phát triển Công nghê Thông tin. Tiêu chuẩn về an toàn thông tin cho các thiết bị, hê thống sản phẩm công nghê thông tin trong lĩnh vực công nghê thông tin ở Viêt Nam vẫn còn thiếu. Trước tình hình đó, viêc nghiên cứu xây dựng các tiêu chuẩn để tạo lập các hồ sơ bảo vê và đích an toàn cho các sản phẩm và hê thống công nghê thông tin nói chung và hê điều hành nói riêng là rất cần thiết.

47

Documents

· Web viewTiêu chuẩn về an toàn thông tin cho các thiết bị, hệ thống sản phẩm công nghệ thông tin trong lĩnh vực công nghệ thông tin ở Việt Nam