TIÊU CHUẨN QUỐC GIA
TCVN 11386:2016
ISO/IEC 18045:2008
CÔNG NGHỆ THÔNG TIN - CÁC KỸ THUẬT AN TOÀN - PHƯƠNG PHÁP ĐÁNH GIÁ AN TOÀN
CÔNG NGHỆ THÔNG TIN
Information technology - Security techniques - Methodology for IT security evaluation
Lời nói đầu
TCVN 11386:2016 (ISO/IEC 18045:2008) hoàn toàn tương đương với ISO/IEC 18045:2008
TCVN 11386:2016 (ISO/IEC 18045: 2008) do Học viện Công nghệ Bưu chính Viễn thông biên soạn,
Bộ Thông tin và Truyền thông đề nghị, Tổng cục Tiêu chuẩn Đo lường Chất lượng thẩm định, Bộ
Khoa học và Công nghệ công bố.
Giới thiệu
Đối tượng hướng tới đối với tiêu chuẩn này chủ yếu là những người đánh giá áp dụng TCVN 8709
(ISO/IEC 15408) và các chứng nhận viên khẳng định các hoạt động người đánh giá; các nhà bảo trợ
đánh giá, các nhà phát triển, các tác giả PP/ST và các bên khác quan tâm đến an toàn công nghệ
thông tin là đối tượng thứ yếu.
Tiêu chuẩn này thừa nhận rằng, không phải tất cả các câu hỏi liên quan đến đánh giá an toàn công
nghệ thông tin sẽ được trả lời ở đây và sẽ cần các diễn giải tiếp theo. Các lược đồ riêng sẽ quyết định
cách xử lý những diễn giải đó mặc dù chúng có thể là chủ đề cho các thỏa thuận công nhận lẫn nhau.
Danh sách các hoạt động liên quan đến phương pháp luận có thể được xử lý bởi các lược đồ riêng
nằm trong Phụ lục A.
CÔNG NGHỆ THÔNG TIN - CÁC KỸ THUẬT AN TOÀN - PHƯƠNG PHÁP ĐÁNH GIÁ AN TOÀN
CÔNG NGHỆ THÔNG TIN
Information technology - Security techniques - Methodology for IT Evaluation
1 Phạm vi áp dụng
Tiêu chuẩn này là tài liệu đi kèm với các tiêu chí đánh giá an toàn công nghệ thông tin đã được quy
định trong TCVN 8709 (ISO/IEC 15408). Tiêu chuẩn này quy định các hành động tối thiểu cần được
thực hiện bởi người đánh giá để tiến hành việc đánh giá theo TCVN 8709 (ISO/IEC 15408), sử dụng
tiêu chí và bằng chứng đánh giá quy định trong TCVN 8709 (ISO/IEC 15408).
Tiêu chuẩn này không quy định các hành động của người đánh giá đối với các thành phần đảm bảo
mức cao nhất định trong TCVN 8709 (ISO/IEC 15408), vì ở đó không đưa ra hướng dẫn được chấp
thuận rộng rãi.
2 Tài liệu viện dẫn
Các tài liệu viện dẫn sau đây là cần thiết để áp dụng tiêu chuẩn này. Đối với các tài liệu viện dẫn ghi
năm công bố thì áp dụng phiên bản được nêu. Đối với các tài liệu viện dẫn không ghi năm công bố thì
áp dụng phiên bản mới nhất (bao gồm cả các sửa đổi, bổ sung).
TCVN 8709 (ISO/IEC 15408 (tất cả các phần)), công nghệ thông tin - Các kỹ thuật an toàn - Các tiêu
chí đánh giá an toàn công nghệ thông tin.
3 Thuật ngữ và định nghĩa
Tiêu chuẩn này sử dụng các thuật ngữ và định nghĩa sau đây.
CHÚ THÍCH: Các thuật ngữ được in đậm là những thuật ngữ được định nghĩa tại điều này.
3.1
Hành động (action)
Phần tử hành động của người đánh giá trong TCVN 8709-3 (ISO/IEC 15408-3).
CHÚ THÍCH: Những hành động này hoặc được chỉ rõ là các hành động của người đánh giá hoặc
ngầm định xuất phát từ các hành động của nhà phát triển (ngầm định là các hành động của người
đánh giá) trong các thành phần đảm bảo của TCVN 8709-3 (ISO/IEC 15408-3).
3.2
Hoạt động (activity)
Việc áp dụng theo một lớp bảo đảm của TCVN 8709-3 (ISO/IEC 15408-3).
3.3
Kiểm tra (check)
Tạo ra nhận định bằng một so sánh đơn giản.
CHÚ THÍCH: Không yêu cầu ý kiến chuyên môn của người đánh giá. Phát biểu sử dụng động từ này
mô tả những gì được ánh xạ.
3.4
Giao phẩm đánh giá (evaluation deliverable)
Tài nguyên bất kỳ được yêu cầu từ nhà bảo trợ hoặc nhà phát triển bởi người đánh giá hoặc tổ chức
đánh giá để thực hiện một hoặc nhiều đánh giá hoặc các hoạt động giám sát đánh giá.
3.5
Bằng chứng đánh giá (evaluation evidence)
Giao phẩm đánh giá hữu hình.
3.6
Báo cáo kỹ thuật đánh giá (evaluation technical report)
Báo cáo ghi lại nhận định tổng thể và lời biện minh, được đưa ra bởi người đánh giá và được đệ
trình lên một tổ chức đánh giá.
3.7
Thẩm tra (examine)
Tạo ra một nhận định bằng cách phân tích theo ý kiến chuyên môn của người đánh giá.
CHÚ THÍCH: Phát biểu sử dụng động từ này xác định những gì được phân tích và các thuộc tính mà
nó được phân tích.
3.8
Diễn giải (interpretation)
Sự làm rõ hoặc mở rộng một yêu cầu của TCVN 8709 (ISO/IEC 15408), TCVN 11386:2016 (ISO/IEC
18045:2008) hoặc lược đồ.
3.9
Phương pháp luận (methodology)
Hệ thống các nguyên tắc, thủ tục và quy trình áp dụng cho đánh giá an toàn công nghệ thông tin.
3.10
Báo cáo quan sát (observation report)
Báo cáo được viết bởi người đánh giá để yêu cầu làm rõ hoặc để xác định một vấn đề trong khi đánh
giá.
3.11
Nhận định tổng thể (overall verdict)
Phát biểu "đạt" hay "không đạt" được đưa ra bởi một người đánh giá đối với kết quả của một đánh
giá.
3.12
Nhận định giám sát (oversight verdict)
Tuyên bố được tạo ra bởi tổ chức đánh giá khẳng định hay phủ nhận một "nhận định tổng thể" dựa
trên các kết quả của các hoạt động giám sát đánh giá.
3.13
Hồ sơ (record)
Lưu lại một mô tả bằng văn bản của các thủ tục, sự kiện, quan sát, những hiểu biết và các kết quả
một cách đầy đủ chi tiết cho phép tái tạo dừng lại công việc đã thực hiện trong khi đánh giá ở một thời
điểm sau đó.
3.14
Báo cáo (report)
Gồm Kết quả đánh giá và các tài liệu hỗ trợ trong bản báo cáo kỹ thuật đánh giá hoặc báo cáo
quan sát.
3.15
Lược đồ (scheme)
Tập hợp các quy tắc, được lập bởi một tổ chức đánh giá, xác định môi trường đánh giá, bao gồm các
tiêu chí và phương pháp luận được yêu cầu để tiến hành các đánh giá an toàn công nghệ thông tin.
3.16
Hoạt động con (sub-activity)
Việc áp dụng theo một thành phần đảm bảo của TCVN 8709-3 (ISO/IEC 15408-3).
CHÚ THÍCH: Các họ đảm bảo không được đề cập rõ ràng trong tiêu chuẩn này vì các đánh giá được
tiến hành trên một thành phần đảm bảo đơn nhất từ một họ đảm bảo.
3.17
Theo dấu (tracing)
Mối quan hệ định hướng đơn nhất giữa hai tập thực thể cho thấy các thực thể nào trong tập đầu tiên
tương ứng với thực thể nào trong tập thứ hai.
3.18
Nhận định (verdict)
Tuyên bố "đạt", "không đạt" hoặc "không thể kết luận" được tạo ra bởi một người đánh giá với phần
tử hành động của người đánh giá, thành phần đảm bảo hoặc lớp của TCVN 8709 (ISO/IEC 15408).
CHÚ THÍCH: Xem thêm nhận định tổng thể.
3.19
Đơn vị công việc (work unit)
Mức chi tiết nhất của công việc đánh giá
CHÚ THÍCH: Mỗi hành động của phương pháp luận đánh giá bao gồm một hoặc nhiều đơn vị công
việc được nhóm lại trong hành động của phương pháp đánh giá theo nội dung TCVN 8709 (ISO/IEC
15408) và trình bày các bằng chứng hoặc phần tử hành động của nhà phát triển. Các đơn vị công
việc được thể hiện trong tiêu chuẩn này theo cùng thứ tự như các phần tử trong TCVN 8709 (ISO/IEC
15408) nơi chúng được bắt nguồn. Các đơn vị công việc được định dạng ở lề trái được ký hiệu như
ALC_TAT.1-2. Trong ký hiệu này, chuỗi ALC_TAT.1 biểu thị thành phần TCVN 8709 (ISO/IEC 15408)
(nghĩa là hoạt động con trong tiêu chuẩn này) và chữ số cuối cùng (2) biểu thị đây là đơn vị công việc
thứ hai trong hoạt động con ALC_TAT.1.
4 Ký hiệu và chữ viết tắt
ETR Báo cáo kỹ thuật đánh giá
OR Báo cáo quan sát
Các ký hiệu và chữ viết tắt khác tham khảo TCVN 8709 (ISO/IEC 15408).
5 Tổng quan
5.1 Bố cục của TCVN 11386:2016 (ISO/IEC 18045:2008)
Điều 6 xác định các quy ước được sử dụng trong tiêu chuẩn này.
Điều 7 mô tả các nhiệm vụ đánh giá chung không có nhận định liên quan đến chúng vì chúng không
ánh xạ đến các phần tử hành động của người đánh giá trong TCVN 8709 (ISO/IEC 15408).
Điều 8 đề cập công việc được yêu cầu để đạt được một kết quả đánh giá trên một PP.
Từ Điều 9 đến Điều 15 xác định các hoạt động đánh giá được tổ chức bởi các lớp đảm bảo.
Phụ lục A bao gồm các kỹ thuật đánh giá cơ bản được sử dụng để cung cấp các bằng chứng kỹ thuật
của kết quả đánh giá.
Phụ lục B cung cấp diễn giải của các tiêu chí phân tích điểm yếu và những ví dụ về ứng dụng của
chúng.
6 Quy ước trong tiêu chuẩn
6.1 Thuật ngữ
Không giống như TCVN 8709 (ISO/IEC 15408), trong đó mỗi phần tử duy trì chữ số cuối cùng của ký
hiệu định dạng của nó cho tất cả các thành phần trong họ, tiêu chuẩn này có thể tạo ra các đơn vị
công việc mới khi một phần tử hành động của người đánh giá trong TCVN 8709 (ISO/IEC 15408) thay
đổi từ hoạt động con này sang hoạt động con khác; kết quả là chữ số cuối cùng của ký hiệu định dạng
đơn vị công việc có thể thay đổi mặc dù đơn vị công việc giữ nguyên không thay đổi.
Một công việc đánh giá cụ thể theo phương pháp luận bất kỳ nào được yêu cầu mà không bắt nguồn
trực tiếp từ các yêu cầu trong TCVN 8709 (ISO/IEC 15408) được gọi là "nhiệm vụ" hoặc "nhiệm vụ
con".
6.2 Cách sử dụng động từ
Từ "cần" (shall) chỉ được sử dụng khi văn bản được cung cấp là bắt buộc và do vậy chỉ dùng trong
các đơn vị công việc và các nhiệm vụ con. Các đơn vị công việc và các nhiệm vụ con bao gồm các
hoạt động bắt buộc mà người đánh giá phải thực hiện để chỉ định các nhận định.
Văn bản hướng dẫn kèm theo các đơn vị công việc và nhiệm vụ con đưa ra giải thích thêm về cách
áp dụng các từ ngữ TCVN 8709 (ISO/IEC 15408) trong phép đánh giá. Cách sử dụng động từ phù
hợp với các định nghĩa ISO cho các động từ này. Từ "nên" (should) được sử dụng khi phương pháp
được mô tả là ưa chuộng hơn. Tất cả các từ khác, bao gồm "có thể" (may), được sử dụng khi (các)
phương pháp được mô tả là được cho phép song không được khuyến cáo cũng như được ưa chuộng
hơn, chúng chỉ dùng để diễn giải.
Các động từ kiểm tra, thẩm tra, báo cáo và ghi lại được sử dụng với ý nghĩa chính xác trong phần này
của tiêu chuẩn và nên tham chiếu Điều 3 về các định nghĩa của chúng.
6.3 Hướng dẫn đánh giá tổng quát
Tài liệu có tính ứng dụng cho nhiều hơn một hoạt động con được tập hợp ở một vị trí. Hướng dẫn có
tính ứng dụng phổ biến (xuyên suốt các hoạt động và các EAL) được tập hợp trong Phụ lục A. Hướng
dẫn gắn liền với nhiều hoạt động con trong một hoạt động đơn lẻ đã được cung cấp trong phần giới
thiệu của hoạt động đó. Nếu hướng dẫn liên quan đến chỉ một hoạt động con đơn lẻ thì nó được trình
bày trong hoạt động con đó.
6.4 Mối quan hệ giữa các cấu trúc TCVN 8709 (ISO/IEC 15408) và TCVN 11386:2016 (ISO/IEC
18045:2008)
Giữa cấu trúc của TCVN 8709 (ISO/IEC 15408) (tức là lớp, họ, thành phần và phần tử) và cấu trúc
của tiêu chuẩn này có các mối quan hệ trực tiếp. Hình 1 minh họa sự tương ứng giữa các kết cấu
TCVN 8709 (ISO/IEC 15408) về lớp, họ và các phần tử hành động của người đánh giá với các hoạt
động, hoạt động con và hành động trong phương pháp đánh giá. Tuy nhiên, một số đơn vị công việc
trong phương pháp đánh giá có thể là kết quả từ các yêu cầu đã được ghi chú trong các phần tử hành
động của nhà phát triển trong TCVN 8709 (ISO/IEC 15408) và phần tử nội dung và trình bày.
Hình 1 - Ánh xạ của các cấu trúc của TCVN 8709 (ISO/IEC 15408) và TCVN 11386:2016 (ISO/IEC
18045:2008)
7 Quy trình đánh giá và các nhiệm vụ liên quan
7.1 Giới thiệu
Điều này cung cấp tổng quan về quy trình đánh giá và xác định các nhiệm vụ của người đánh giá
được dự định thực hiện khi tiến hành đánh giá.
Mỗi một đánh giá hoặc là một PP hoặc là một TOE (bao gồm cả ST), đều theo quy trình như nhau và
có bốn nhiệm vụ chung của người đánh giá là: nhiệm vụ đầu vào, nhiệm vụ đầu ra, hoạt động con
đánh giá và sự thuyết minh về năng lực kỹ thuật đối với nhiệm vụ của tổ chức đánh giá.
Nhiệm vụ đầu vào và các nhiệm vụ đầu ra có liên quan đến quản lý bằng chứng đánh giá và phát sinh
báo cáo được mô tả trọn vẹn trong điều này. Mỗi nhiệm vụ có các nhiệm vụ con liên quan được áp
dụng và quy định cho tất cả các đánh giá của TCVN 8709 (ISO/IEC 15408) (đánh giá một PP hoặc
một TOE).
Các hoạt động con đánh giá chỉ được giới thiệu trong điều này và được mô tả đầy đủ trong các điều
tiếp theo.
Trái ngược với các hoạt động con đánh giá, các nhiệm vụ đầu vào và đầu ra không có nhận định liên
quan đến chúng vì chúng không ánh xạ tới các phần tử hành động của người đánh giá trong TCVN
8709 (ISO/IEC 15408); các nhiệm vụ này được thực hiện để đảm bảo phù hợp với các nguyên tắc
phổ biến và tuân thủ tiêu chuẩn này.
Sự thuyết minh về năng lực kỹ thuật đối với nhiệm vụ của tổ chức đánh giá có thể được hoàn thiện
bằng phép phân tích của tổ chức đánh giá về các kết quả nhiệm vụ đầu ra hoặc có thể bao gồm sự
thuyết minh của người đánh giá từ sự hiểu biết của họ về các đầu vào đối với các hoạt động con đánh
giá. Nhiệm vụ này không có nhận định của người đánh giá liên quan nhưng có nhận định của tổ chức
đánh giá. Các tiêu chí chi tiết để đạt nhiệm vụ này là theo quyết định của tổ chức đánh giá, như đã
nêu trong Phụ lục A.5.
7.2 Tổng quan về quá trình đánh giá
7.2.1 Mục tiêu
Điều này trình bày mô hình chung của phương pháp luận và xác định:
a) Các vai trò và trách nhiệm của các bên liên quan trong quy trình đánh giá;
b) Mô hình đánh giá chung.
7.2.2 Trách nhiệm của các vai trò
Mô hình chung xác định đặc điểm của các vai trò sau: nhà bảo trợ, nhà phát triển, người đánh giá và
tổ chức đánh giá.
Nhà bảo trợ có trách nhiệm yêu cầu và hỗ trợ việc đánh giá. Điều này có nghĩa là nhà bảo trợ thiết lập
các thỏa thuận khác nhau cho việc đánh giá (ví dụ như ủy thác đánh giá). Ngoài ra, nhà bảo trợ có
trách nhiệm đảm bảo rằng người đánh giá được cung cấp bằng chứng đánh giá.
Nhà phát triển tạo ra TOE và chịu trách nhiệm cung cấp các bằng chứng được yêu cầu cho việc đánh
giá (ví dụ như đào tạo, thông tin thiết kế), thay mặt cho nhà bảo trợ.
Người đánh giá thực hiện các nhiệm vụ đánh giá được yêu cầu trong bối cảnh của một đánh giá:
người đánh giá tiếp nhận bằng chứng đánh giá từ nhà phát triển thay mặt cho nhà bảo trợ hoặc trực
tiếp từ nhà bảo trợ, thực hiện các hoạt động con đánh giá và cung cấp các kết quả ước định đánh giá
cho tổ chức đánh giá.
Tổ chức đánh giá thiết lập và duy trì lược đồ, giám sát việc đánh giá được thực hiện bởi người đánh
giá và tạo ra các báo cáo chứng nhận/công nhận cũng như các chứng chỉ dựa trên Kết quả đánh giá
được cung cấp bởi người đánh giá.
7.2.3 Mối quan hệ của các vai trò
Để tránh ảnh hưởng quá mức từ tác động không đúng đến việc đánh giá, việc phân tách vai trò của
các bên được yêu cầu. Điều này có nghĩa là các vai trò được mô tả ở trên được thực hiện bởi các
thực thể khác nhau, ngoại trừ vai trò của nhà phát triển và nhà bảo trợ có thể được thỏa mãn bởi một
thực thể đơn nhất.
Ngoài ra, một số đánh giá (ví dụ như đánh giá EAL1) có thể không yêu cầu các nhà phát triển tham
gia vào dự án. Trong trường hợp này, nhà bảo trợ là người cung cấp TOE cho người đánh giá và là
người tạo ra bằng chứng đánh giá.
7.2.4 Mô hình đánh giá chung
Quy trình đánh giá bao gồm người đánh giá thực hiện nhiệm vụ đầu vào đánh giá, nhiệm vụ đầu ra
đánh giá và các hoạt động con đánh giá. Hình 2 cung cấp tổng quan về mối quan hệ giữa các nhiệm
vụ này và các hoạt động con.
Quy trình đánh giá có thể được bắt đầu bằng giai đoạn chuẩn bị, tại đó cuộc gặp gỡ đầu tiên giữa nhà
bảo trợ và người đánh giá được thiết lập. Công việc được thực hiện và sự tham gia của các vai trò
khác nhau trong giai đoạn này có thể thay đổi. Điển hình trong bước này là người đánh giá thực hiện
một phân tích tính khả thi nhằm ước định khả năng một đánh giá thành công.