Quito Ecuador EXTRACTO

Transcripción

1 Quito Ecuador NORMA TÉCNICA ECUATORIANA NTE INEN-ISO/IEC Tercera edición TECNOLOGÍA DE LA INFORMACIÓN. TÉCNICAS DE SEGURIDAD. CRITERIOS DE EVALUACIÓN PARA LA SEGURIDAD DE TECNOLOGÍAS DE INFORMACIÓN (TI) PARTE 1: INTRODUCCIÓN Y MODELO GENERAL (ISO/IEC :2009, IDT) INFORMATION TECHNOLOGY. SECURITY TECHNIQUES. EVALUATION CRITERIA FOR IT SECURITY. PART 1: INTRODUCTION AND GENERAL MODEL (ISO/IEC :2009,IDT) Correspondencia: Esta norma nacional es una traducción idéntica de la Norma Internacional ISO/IEC :2009 DESCRIPTORES: Software, codificación de información, tecnología de información. ICS: Páginas

2 Prólogo nacional Esta Norma Técnica Ecuatoriana NTE INEN-ISO/IEC , es una traducción idéntica a la Norma Internacional ISO/IEC :2009 Information technology. Security techniques. Evaluation criteria for it security. Part 1: Introduction and general model. El comité responsable de esta Norma Técnica Ecuatoriana y de su traducción es el Comité Interno del INEN. Para el propósito de esta Norma Técnica Ecuatoriana las palabras Esta Norma Internacional han sido sustituidas por Esta Norma Nacional. Para el propósito de esta Norma Técnica Ecuatoriana se enlistan los documentos normativos internacionales que se referencian en la Norma Internacional ISO/IEC :2009 y los documentos normativos nacionales correspondientes: Documento Normativo Internacional ISO/IEC 27001, Information technology Security techniques Information security management systems Requirements ISO/IEC 27002, Information technology Security techniques Code of practice for information security management ISO/IEC , Information technology. Security techniques. Evaluation criteria for IT security. Part 2: Security functional components. ISO/IEC , Information technology. Security techiniques. Evaluation criteria for IT security. Part 3: Security assurance components. ISO/IEC 18045, Information technology. Security techniques. Methodology for IT security evaluation. Documento Normativo Nacional NTE INEN ISO/IEC 27001:2011 Tecnología de la información. Técnicas de seguridad. Sistema de gestión de la seguridad de la información (SGSI). Requisitos. NTE INEN ISO/IEC 27001:2011 Tecnología de la información. Técnicas de la seguridad. Código de práctica para la gestión de la seguridad de la información No existe documento normativo nacional correspondiente. No existe documento normativo nacional correspondiente. No existe documento normativo nacional correspondiente i

3 Índice Prólogo.... Introducción iv v 1. Objeto Normas de referencia Términos y definiciones Términos y definiciones comunes en la norma ISO/IEC Términos y definiciones relacionados con la clase ADV Términos y definiciones relacionados con la clase AGD Términos y definiciones relacionados a la clase ALC Términos y definiciones relacionados con la clase AVA Términos y definiciones relacionados con la clase ACO Términos Abreviados Información General Generalidades El TOE Destinatarios de la norma ISO/IEC Las diferentes partes de la norma ISO/IEC Contexto de evaluación Modelo general Introducción al modelo general Activos y contramedidas Evaluación Adaptación de requisitos de seguridad Operaciones Las dependencias entre los componentes Componentes ampliados Perfiles de protección y paquetes Introducción Paquetes ii

4 8.3 Perfiles de protección Uso de PPs y paquetes Uso de múltiples perfiles de protección Resultados de la evaluación Introducción Resultados de una evaluación PP Resultados de una evaluación ST/TOE Declaración de conformidad Uso de los resultados de la evaluación ST/TOE 38 Anexo A (informativo) Especificación de objetivos de seguridad 39 Anexo B (informativo) Especificación de perfiles de protección.. 56 Anexo C (informativo) Guía de operaciones Anexo D (informativo) Conformidad PP Bibliografía iii

5 Prólogo ISO (la Organización Internacional de Normalización) y la IEC (la Comisión Electrotécnica Internacional) conforman el sistema especializado para la normalización en el mundo. Los organismos nacionales que son miembros de la ISO o la IEC participan en el desarrollo de normas internacionales a través de los comités técnicos establecidos por la organización correspondiente para tratar los campos particulares de la actividad técnica. Los comités técnicos de la ISO y la IEC colaboran en áreas de interés mutuo. Otras organizaciones internacionales, gubernamentales y no gubernamentales, en unión con ISO e IEC también toman parte en esta labor. En el campo de la tecnología de la información, ISO e IEC han establecido un comité técnico conjunto, el comité ISO/IEC JTC 1. Las normas internacionales se redactan de acuerdo con las reglas establecidas en la Parte 2 del documento ISO/IEC Directives. La principal labor del comité técnico es preparar normas internacionales. Las versiones preliminares de las normas internacionales adoptadas por el comité técnico conjunto se dan a conocer a todos los organismos nacionales para la votación. La publicación como una Norma Internacional requiere la aprobación de 75% mínimo de los organismos nacionales que votan. Se llama la atención sobre la posibilidad de que algunos de los elementos de este documento puedan estar sujetos a derechos de patente. Ni la ISO ni la IEC asumen responsabilidad por la identificación de cualquiera o todos los derechos de patente. ISO/IEC fue preparada por el Comité Técnico Conjunto ISO/IEC JTC 1, Tecnología de la Información, Subcomité SC 27, Técnicas de seguridad de IT. El mismo texto de la norma ISO/IEC es una publicación del Proyecto de Criterios Comunes de Organizaciones Patrocinadoras como los criterios comunes para la evaluación de la seguridad de Tecnología. La fuente XML común para ambas publicaciones se puede encontrar en Esta tercera edición anula y reemplaza la segunda edición (ISO/IEC :2005), que ha sido revisada técnicamente. ISO/IEC consta de las siguientes partes, bajo el título general de la Tecnología de Información Técnicas de seguridad Criterios de evaluación de la seguridad de IT: Parte 1: Introducción y modelo general. Parte 2: Componentes funcionales de seguridad. Parte 3: Componentes de garantía de seguridad iv

6 Introducción Esta parte de la Norma ISO/IEC permite la comparación entre los resultados de las evaluaciones de seguridad independientes. ISO/IEC hace proporcionando un conjunto común de requisitos para la funcionalidad de seguridad de los productos de IT y de las medidas de garantía aplicadas a estos productos IT durante la evaluación de seguridad. Estos productos de IT pueden implementar en hardware, firmware o software. El proceso de evaluación establece un nivel de confianza tal que la funcionalidad de seguridad de estos productos y la seguridad de las medidas aplicadas a los productos TI cumplan con estos requisitos. Los resultados de la evaluación pueden ayudar a los consumidores a determinar si estos productos cumplen con sus necesidades de seguridad. ISO/IEC es útil como una guía para el desarrollo, la evaluación y/o la adquisición de productos IT con una funcionalidad segura. ISO/IEC es intencionalmente flexible, lo que permite una amplia gama de métodos de evaluación se apliquen a una amplia gama de propiedades de seguridad de una gama de productos IT. Por lo tanto, a los usuarios de esta norma se les advierte de tener cuidado que esta flexibilidad no sea mal utilizada. Por ejemplo, el uso de ISO/IEC en relación con los métodos inadecuados de evaluación, propiedades de seguridad irrelevantes, o productos inapropiados IT, puede dar lugar a resultados de la evaluación sin sentido. En consecuencia, el hecho de que un producto IT ha sido evaluado sólo tiene sentido en el contexto de las prioridades de seguridad que fueron evaluadas y los métodos de evaluación que se utilizaron. Se recomienda a las autoridades de evaluación de revisar cuidadosamente los productos, propiedades y métodos para determinar que una evaluación proporcionará resultados significativos. Además, se recomienda a los compradores de los productos evaluados considerar cuidadosamente este contexto para determinar si el producto evaluado es útil y aplicable a su situación y necesidades específicas. ISO/IEC aborda la protección de los activos de la divulgación no autorizada, modificación o pérdida de uso. Las categorías de protección en relación con estos tres tipos de fallas de seguridad son llamadas comúnmente la confidencialidad, integridad y disponibilidad, respectivamente. ISO/IEC también puede ser aplicable a los aspectos de la seguridad de IT, externo a estos tres. ISO/IEC es aplicable a los riesgos derivados de las actividades humanas (malintencionado o no) y de los riesgos derivados de actividades no-humanas. Aparte de la seguridad IT, ISO/IEC se puede aplicar en otras áreas de IT, pero no hace ninguna demanda de aplicación en estas áreas. Ciertos temas, porque implican técnicas especializadas o porque son algo periférico a seguridad IT, son considerados estar fuera del ámbito de aplicación de la norma ISO/IEC Algunos de ellos se identifican a continuación. a) ISO/IEC no contiene criterios de evaluación de seguridad relacionados con las medidas de seguridad administrativas no relacionadas directamente con las funciones de seguridad IT. Sin embargo, se reconoce que la seguridad significativa a menudo puede lograrse a través o con el apoyo de medidas administrativas como organizativas, personal, física y controles de procedimiento. b) La evaluación de algunos aspectos físicos técnicos de la seguridad de IT, tales como el control de emanación electromagnética no está cubierto específicamente, aunque muchos de los conceptos abordados serán aplicables a esa zona. c) ISO/IEC no se ocupa de la metodología de evaluación en las que se deben aplicar los criterios. Esta metodología se da en la norma ISO/IEC v

7 d) ISO/IEC no se ocupa del marco administrativo y jurídico en el que los criterios pueden ser aplicados por las autoridades de evaluación. Sin embargo, se espera que la norma ISO/IEC se utilizará para fines de evaluación en el contexto de dicho marco. e) Los procedimientos para el uso de resultados de la evaluación en la acreditación están fuera del ámbito de aplicación de la norma ISO/IEC La acreditación es el procedimiento administrativo mediante el cual se otorga autoridad para el funcionamiento de un producto informático (o conjunto de los mismos) en su entorno operativo completo, incluyendo todas sus partes no IT. Los resultados del proceso de evaluación son un insumo para el proceso de acreditación. Sin embargo, como otras técnicas son más apropiados para las evaluaciones de las propiedades no relacionadas con IT y su relación con las partes de seguridad de IT, acreditadores deben hacer provisiones separadas para esos aspectos. f) El tema de los criterios para la evaluación de las cualidades intrínsecas de los algoritmos de cifrado no está cubierto en la norma ISO/IEC Si se requiere una evaluación independiente de las propiedades matemáticas de criptografía, el esquema de evaluación por la que se aplica la norma ISO/IEC debe prever dichas evaluaciones. Terminología ISO, tales como puede (habilidad), informativos, puede (permiso), normativas, deberá, y debe que se utiliza en todo el documento se definen en la norma ISO/IEC Directivas, parte 2. Tenga en cuenta que el término debería tiene un significado adicional aplicable al utilizar esta Norma Internacional. Vea la nota a continuación. A continuación se ofrece una definición para el uso de debería en la norma ISO/IEC Debería: dentro del texto normativo, debería indica que, entre varias posibilidades, se recomienda uno como especialmente adecuado, sin mencionar o excluir a otros, o que se prefiere un determinado curso de acción, pero no requerido necesariamente (ISO/IEC Directivas, Parte 2). NOTA La Norma ISO/IEC interpreta no requerido necesariamente en el sentido de que la elección de otra posibilidad requiere una justificación de por qué la opción preferida no fue elegida vi

8 Tecnología de la información. Técnicas de seguridad. Criterios de evaluación para la seguridad de tecnologías de información (TI).Parte 1: introducción y modelo general 1. Objeto La ISO/IEC está prevista para uso como la base para la evaluación de las propiedades de seguridad de los productos y sistemas de IT. Mediante el establecimiento de esta base de criterios comunes, los resultados de una evaluación de seguridad de IT serán significativos para un público más amplio. Proporciona una visión general de todas las partes de la norma ISO / IEC Se describen las diversas partes de la norma; se definen los términos y abreviaturas que se utilizan en todas las partes de la Norma; establece el concepto básico de un Objeto de Evaluación (TOE); el contexto de la evaluación, y describe los destinatarios a los que la se dirigen los criterios de evaluación. Se presenta una introducción a los conceptos básicos de seguridad necesarios para la evaluación de productos de IT. Se definen las diversas operaciones por las que los componentes funcionales y de garantía dados en la norma ISO / IEC e ISO / IEC pueden ser adaptadas mediante el uso de operaciones permitidas. Los conceptos claves de perfiles de protección (PP), los paquetes de requisitos de seguridad y el tema de la conformidad se especifican y se describen las consecuencias de la evaluación y la evaluación de resultados. Esta parte de la Norma ISO / IEC proporciona directrices para la especificación de objetivos de seguridad (ST) y proporciona una descripción de la organización de los componentes en todo el modelo. Información general sobre la metodología de evaluación se da en la norma ISO / IEC y se proporciona el alcance de los planes de evaluación. 2. Normas de referencia Los siguientes documentos de referencia son indispensables para la aplicación de esta parte de la norma ISO / IEC Para las referencias con fecha sólo se aplica la edición citada. Para las referencias sin fecha se aplica la última edición del documento de referencia (incluyendo cualquier modificación). ISO/IEC , Information technology. Security techniques. Evaluation criteria for IT security. Part 2: Security functional components. ISO/IEC , Information technology. Security techiniques. Evaluation criteria for IT security. Part 3: Security assurance components. ISO/IEC 18045, Information technology. Security techniques. Methodology for IT security evaluation. 3. Términos y definiciones Para los propósitos de este documento se aplican los siguientes términos y definiciones: NOTA Este numeral contiene solamente aquellos términos que se utilizan de una manera especializada en toda la ISO/IEC Algunas combinaciones de términos conocidos usados en la ISO/IEC 15408, aunque no ameritan inclusión en esta clausula, se explican para brindar claridad en el contexto en el que se usan. ISO/IEC 2009 Todos los derechos reservados de 76

9 Documento: NTE INEN- ISO/IEC ORIGINAL: Fecha de iniciación del estudio: INFORMACIÓN COMPLEMENTARIA TÍTULO: TECNOLOGÍA DE LA INFORMACIÓN. TÉCNICAS DE SEGURIDAD. CRITERIOS DE EVALUACIÓN PARA LA SEGURIDAD DE TECNOLOGÍAS DE INFORMACIÓN (TI) PARTE 1: INTRODUCCIÓN Y MODELO GENERAL (ISO/IEC :2009, IDT) Fechas de consulta pública: a Código: ICS REVISIÓN: La Subsecretaría de la Calidad del Ministerio de Industrias y Productividad aprobó este proyecto de norma Oficialización con el Carácter de por Resolución No. publicado en el Registro Oficial No. Fecha de iniciación del estudio: Comité Interno del INEN: Fecha de iniciación: Fecha de aprobación: Integrantes del Comité: NOMBRES: Ing. Paola Castillo (Presidenta) Ing. Silvana Torres Sr. Wilson Angulo Ing. Raúl Martínez Ing. Erika Chicaiza Ing. Evelyn Andrade (Secretaria Técnica) INSTITUCIÓN REPRESENTADA: DELEGADA DE LA COORDINACIÒN TÉCNICA DIRECCIÓN DE REGLAMENTACIÒN DIRECCIÓN DE METROLOGÍA DIRECCIÓN DE VALIDACIÓN Y CERTIFICACIÓN DIRECCIÓN DE NORMALIZACIÓN DIRECCIÓN DE NORMALIZACIÓN Otros trámites: La Subsecretaría de la Calidad del Ministerio de Industrias y Productividad aprobó este proyecto de norma Oficializada como: Voluntaria Por Resolución No de Registro Oficial Suplemento No. 277 de

10 Instituto Ecuatoriano de Normalización, INEN - Baquerizo Moreno E8-29 y Av. 6 de Diciembre Casilla Telfs: (593 2) al Fax: (593 2) Dirección Ejecutiva: direccion@inen.gob.ec Dirección de Normalización: normalizacion@inen.gob.ec Regional Guayas: inenguayas@inen.gob.ec Regional Azuay: inencuenca@inen.gob.ec Regional Chimborazo: inenriobamba@inen.gob.ec URL: