Quito Ecuador NORMA TÉCNICA ECUATORIANA NTE INEN-ISO/IEC 15408-1 Tercera edición 2014-06 TECNOLOGÍA DE LA INFORMACIÓN. TÉCNICAS DE SEGURIDAD. CRITERIOS DE EVALUACIÓN PARA LA SEGURIDAD DE TECNOLOGÍAS DE INFORMACIÓN (TI) PARTE 1: INTRODUCCIÓN Y MODELO GENERAL (ISO/IEC 15408-1:2009, IDT) INFORMATION TECHNOLOGY. SECURITY TECHNIQUES. EVALUATION CRITERIA FOR IT SECURITY. PART 1: INTRODUCTION AND GENERAL MODEL (ISO/IEC 15408-1:2009,IDT) Correspondencia: Esta norma nacional es una traducción idéntica de la Norma Internacional ISO/IEC 15408-1:2009 DESCRIPTORES: Software, codificación de información, tecnología de información. ICS:35.040 76 Páginas
Prólogo nacional Esta Norma Técnica Ecuatoriana NTE INEN-ISO/IEC 15408-1, es una traducción idéntica a la Norma Internacional ISO/IEC 15408-1:2009 Information technology. Security techniques. Evaluation criteria for it security. Part 1: Introduction and general model. El comité responsable de esta Norma Técnica Ecuatoriana y de su traducción es el Comité Interno del INEN. Para el propósito de esta Norma Técnica Ecuatoriana las palabras Esta Norma Internacional han sido sustituidas por Esta Norma Nacional. Para el propósito de esta Norma Técnica Ecuatoriana se enlistan los documentos normativos internacionales que se referencian en la Norma Internacional ISO/IEC 15408-1:2009 y los documentos normativos nacionales correspondientes: Documento Normativo Internacional ISO/IEC 27001, Information technology Security techniques Information security management systems Requirements ISO/IEC 27002, Information technology Security techniques Code of practice for information security management ISO/IEC 15408-2, Information technology. Security techniques. Evaluation criteria for IT security. Part 2: Security functional components. ISO/IEC 15408-3, Information technology. Security techiniques. Evaluation criteria for IT security. Part 3: Security assurance components. ISO/IEC 18045, Information technology. Security techniques. Methodology for IT security evaluation. Documento Normativo Nacional NTE INEN ISO/IEC 27001:2011 Tecnología de la información. Técnicas de seguridad. Sistema de gestión de la seguridad de la información (SGSI). Requisitos. NTE INEN ISO/IEC 27001:2011 Tecnología de la información. Técnicas de la seguridad. Código de práctica para la gestión de la seguridad de la información No existe documento normativo nacional correspondiente. No existe documento normativo nacional correspondiente. No existe documento normativo nacional correspondiente. 2014-2838 i
Índice Prólogo.... Introducción...... iv v 1. Objeto.... 1 2. Normas de referencia.... 1 3. Términos y definiciones... 1 3.1 Términos y definiciones comunes en la norma ISO/IEC 15408.... 2 3.2 Términos y definiciones relacionados con la clase ADV.... 9 3.3 Términos y definiciones relacionados con la clase AGD.. 12 3.4 Términos y definiciones relacionados a la clase ALC..... 13 3.5 Términos y definiciones relacionados con la clase AVA 16 3.6 Términos y definiciones relacionados con la clase ACO... 17 4. Términos Abreviados. 17 5. Información General.. 18 5.1 Generalidades..... 18 5.2 El TOE 18 5.3 Destinatarios de la norma ISO/IEC 15408. 20 5.4 Las diferentes partes de la norma ISO/IEC15408.. 21 5.5 Contexto de evaluación 22 6. Modelo general 23 6.1 Introducción al modelo general.. 23 6.2 Activos y contramedidas. 23 6.3 Evaluación 27 7. Adaptación de requisitos de seguridad... 28 7.1 Operaciones. 28 7.2 Las dependencias entre los componentes. 30 7.3 Componentes ampliados. 31 8. Perfiles de protección y paquetes. 32 8.1 Introducción. 32 8.2 Paquetes... 32 2014-2838 ii
8.3 Perfiles de protección... 32 8.4 Uso de PPs y paquetes. 35 8.5 Uso de múltiples perfiles de protección.. 35 9. Resultados de la evaluación... 36 9.1 Introducción. 36 9.2 Resultados de una evaluación PP. 37 9.3 Resultados de una evaluación ST/TOE 37 9.4 Declaración de conformidad... 37 9.5 Uso de los resultados de la evaluación ST/TOE 38 Anexo A (informativo) Especificación de objetivos de seguridad 39 Anexo B (informativo) Especificación de perfiles de protección.. 56 Anexo C (informativo) Guía de operaciones... 62 Anexo D (informativo) Conformidad PP... 65 Bibliografía. 67 2014-2838 iii
Prólogo ISO (la Organización Internacional de Normalización) y la IEC (la Comisión Electrotécnica Internacional) conforman el sistema especializado para la normalización en el mundo. Los organismos nacionales que son miembros de la ISO o la IEC participan en el desarrollo de normas internacionales a través de los comités técnicos establecidos por la organización correspondiente para tratar los campos particulares de la actividad técnica. Los comités técnicos de la ISO y la IEC colaboran en áreas de interés mutuo. Otras organizaciones internacionales, gubernamentales y no gubernamentales, en unión con ISO e IEC también toman parte en esta labor. En el campo de la tecnología de la información, ISO e IEC han establecido un comité técnico conjunto, el comité ISO/IEC JTC 1. Las normas internacionales se redactan de acuerdo con las reglas establecidas en la Parte 2 del documento ISO/IEC Directives. La principal labor del comité técnico es preparar normas internacionales. Las versiones preliminares de las normas internacionales adoptadas por el comité técnico conjunto se dan a conocer a todos los organismos nacionales para la votación. La publicación como una Norma Internacional requiere la aprobación de 75% mínimo de los organismos nacionales que votan. Se llama la atención sobre la posibilidad de que algunos de los elementos de este documento puedan estar sujetos a derechos de patente. Ni la ISO ni la IEC asumen responsabilidad por la identificación de cualquiera o todos los derechos de patente. ISO/IEC 15408-1 fue preparada por el Comité Técnico Conjunto ISO/IEC JTC 1, Tecnología de la Información, Subcomité SC 27, Técnicas de seguridad de IT. El mismo texto de la norma ISO/IEC 15408 es una publicación del Proyecto de Criterios Comunes de Organizaciones Patrocinadoras como los criterios comunes para la evaluación de la seguridad de Tecnología. La fuente XML común para ambas publicaciones se puede encontrar en http://www.oc.ccn.cni.es/xml Esta tercera edición anula y reemplaza la segunda edición (ISO/IEC 15408-1:2005), que ha sido revisada técnicamente. ISO/IEC 15408 consta de las siguientes partes, bajo el título general de la Tecnología de Información Técnicas de seguridad Criterios de evaluación de la seguridad de IT: Parte 1: Introducción y modelo general. Parte 2: Componentes funcionales de seguridad. Parte 3: Componentes de garantía de seguridad. 2014-2838 iv
Introducción Esta parte de la Norma ISO/IEC 15408 permite la comparación entre los resultados de las evaluaciones de seguridad independientes. ISO/IEC 15408 hace proporcionando un conjunto común de requisitos para la funcionalidad de seguridad de los productos de IT y de las medidas de garantía aplicadas a estos productos IT durante la evaluación de seguridad. Estos productos de IT pueden implementar en hardware, firmware o software. El proceso de evaluación establece un nivel de confianza tal que la funcionalidad de seguridad de estos productos y la seguridad de las medidas aplicadas a los productos TI cumplan con estos requisitos. Los resultados de la evaluación pueden ayudar a los consumidores a determinar si estos productos cumplen con sus necesidades de seguridad. ISO/IEC 15408 es útil como una guía para el desarrollo, la evaluación y/o la adquisición de productos IT con una funcionalidad segura. ISO/IEC 15408 es intencionalmente flexible, lo que permite una amplia gama de métodos de evaluación se apliquen a una amplia gama de propiedades de seguridad de una gama de productos IT. Por lo tanto, a los usuarios de esta norma se les advierte de tener cuidado que esta flexibilidad no sea mal utilizada. Por ejemplo, el uso de ISO/IEC 15408 en relación con los métodos inadecuados de evaluación, propiedades de seguridad irrelevantes, o productos inapropiados IT, puede dar lugar a resultados de la evaluación sin sentido. En consecuencia, el hecho de que un producto IT ha sido evaluado sólo tiene sentido en el contexto de las prioridades de seguridad que fueron evaluadas y los métodos de evaluación que se utilizaron. Se recomienda a las autoridades de evaluación de revisar cuidadosamente los productos, propiedades y métodos para determinar que una evaluación proporcionará resultados significativos. Además, se recomienda a los compradores de los productos evaluados considerar cuidadosamente este contexto para determinar si el producto evaluado es útil y aplicable a su situación y necesidades específicas. ISO/IEC 15408 aborda la protección de los activos de la divulgación no autorizada, modificación o pérdida de uso. Las categorías de protección en relación con estos tres tipos de fallas de seguridad son llamadas comúnmente la confidencialidad, integridad y disponibilidad, respectivamente. ISO/IEC 15408 también puede ser aplicable a los aspectos de la seguridad de IT, externo a estos tres. ISO/IEC 15408 es aplicable a los riesgos derivados de las actividades humanas (malintencionado o no) y de los riesgos derivados de actividades no-humanas. Aparte de la seguridad IT, ISO/IEC 15408 se puede aplicar en otras áreas de IT, pero no hace ninguna demanda de aplicación en estas áreas. Ciertos temas, porque implican técnicas especializadas o porque son algo periférico a seguridad IT, son considerados estar fuera del ámbito de aplicación de la norma ISO/IEC 15408. Algunos de ellos se identifican a continuación. a) ISO/IEC 15408 no contiene criterios de evaluación de seguridad relacionados con las medidas de seguridad administrativas no relacionadas directamente con las funciones de seguridad IT. Sin embargo, se reconoce que la seguridad significativa a menudo puede lograrse a través o con el apoyo de medidas administrativas como organizativas, personal, física y controles de procedimiento. b) La evaluación de algunos aspectos físicos técnicos de la seguridad de IT, tales como el control de emanación electromagnética no está cubierto específicamente, aunque muchos de los conceptos abordados serán aplicables a esa zona. c) ISO/IEC 15408 no se ocupa de la metodología de evaluación en las que se deben aplicar los criterios. Esta metodología se da en la norma ISO/IEC 18405. 2014-2838 v
d) ISO/IEC 15408 no se ocupa del marco administrativo y jurídico en el que los criterios pueden ser aplicados por las autoridades de evaluación. Sin embargo, se espera que la norma ISO/IEC 15408 se utilizará para fines de evaluación en el contexto de dicho marco. e) Los procedimientos para el uso de resultados de la evaluación en la acreditación están fuera del ámbito de aplicación de la norma ISO/IEC 15408. La acreditación es el procedimiento administrativo mediante el cual se otorga autoridad para el funcionamiento de un producto informático (o conjunto de los mismos) en su entorno operativo completo, incluyendo todas sus partes no IT. Los resultados del proceso de evaluación son un insumo para el proceso de acreditación. Sin embargo, como otras técnicas son más apropiados para las evaluaciones de las propiedades no relacionadas con IT y su relación con las partes de seguridad de IT, acreditadores deben hacer provisiones separadas para esos aspectos. f) El tema de los criterios para la evaluación de las cualidades intrínsecas de los algoritmos de cifrado no está cubierto en la norma ISO/IEC 15408. Si se requiere una evaluación independiente de las propiedades matemáticas de criptografía, el esquema de evaluación por la que se aplica la norma ISO/IEC 15408 debe prever dichas evaluaciones. Terminología ISO, tales como puede (habilidad), informativos, puede (permiso), normativas, deberá, y debe que se utiliza en todo el documento se definen en la norma ISO/IEC Directivas, parte 2. Tenga en cuenta que el término debería tiene un significado adicional aplicable al utilizar esta Norma Internacional. Vea la nota a continuación. A continuación se ofrece una definición para el uso de debería en la norma ISO/IEC 15408. Debería: dentro del texto normativo, debería indica que, entre varias posibilidades, se recomienda uno como especialmente adecuado, sin mencionar o excluir a otros, o que se prefiere un determinado curso de acción, pero no requerido necesariamente (ISO/IEC Directivas, Parte 2). NOTA La Norma ISO/IEC 15408 interpreta no requerido necesariamente en el sentido de que la elección de otra posibilidad requiere una justificación de por qué la opción preferida no fue elegida. 2014-2838 vi
Tecnología de la información. Técnicas de seguridad. Criterios de evaluación para la seguridad de tecnologías de información (TI).Parte 1: introducción y modelo general 1. Objeto La ISO/IEC15408-1 está prevista para uso como la base para la evaluación de las propiedades de seguridad de los productos y sistemas de IT. Mediante el establecimiento de esta base de criterios comunes, los resultados de una evaluación de seguridad de IT serán significativos para un público más amplio. Proporciona una visión general de todas las partes de la norma ISO / IEC 15408. Se describen las diversas partes de la norma; se definen los términos y abreviaturas que se utilizan en todas las partes de la Norma; establece el concepto básico de un Objeto de Evaluación (TOE); el contexto de la evaluación, y describe los destinatarios a los que la se dirigen los criterios de evaluación. Se presenta una introducción a los conceptos básicos de seguridad necesarios para la evaluación de productos de IT. Se definen las diversas operaciones por las que los componentes funcionales y de garantía dados en la norma ISO / IEC 15408-2 e ISO / IEC 15408-3 pueden ser adaptadas mediante el uso de operaciones permitidas. Los conceptos claves de perfiles de protección (PP), los paquetes de requisitos de seguridad y el tema de la conformidad se especifican y se describen las consecuencias de la evaluación y la evaluación de resultados. Esta parte de la Norma ISO / IEC 15408 proporciona directrices para la especificación de objetivos de seguridad (ST) y proporciona una descripción de la organización de los componentes en todo el modelo. Información general sobre la metodología de evaluación se da en la norma ISO / IEC 18045 y se proporciona el alcance de los planes de evaluación. 2. Normas de referencia Los siguientes documentos de referencia son indispensables para la aplicación de esta parte de la norma ISO / IEC 15408. Para las referencias con fecha sólo se aplica la edición citada. Para las referencias sin fecha se aplica la última edición del documento de referencia (incluyendo cualquier modificación). ISO/IEC 15408-2, Information technology. Security techniques. Evaluation criteria for IT security. Part 2: Security functional components. ISO/IEC 15408-3, Information technology. Security techiniques. Evaluation criteria for IT security. Part 3: Security assurance components. ISO/IEC 18045, Information technology. Security techniques. Methodology for IT security evaluation. 3. Términos y definiciones Para los propósitos de este documento se aplican los siguientes términos y definiciones: NOTA Este numeral contiene solamente aquellos términos que se utilizan de una manera especializada en toda la ISO/IEC15408-1. Algunas combinaciones de términos conocidos usados en la ISO/IEC 15408, aunque no ameritan inclusión en esta clausula, se explican para brindar claridad en el contexto en el que se usan. ISO/IEC 2009 Todos los derechos reservados 2014-2838 1 de 76
Documento: NTE INEN- ISO/IEC 15408-1 ORIGINAL: Fecha de iniciación del estudio: INFORMACIÓN COMPLEMENTARIA TÍTULO: TECNOLOGÍA DE LA INFORMACIÓN. TÉCNICAS DE SEGURIDAD. CRITERIOS DE EVALUACIÓN PARA LA SEGURIDAD DE TECNOLOGÍAS DE INFORMACIÓN (TI) PARTE 1: INTRODUCCIÓN Y MODELO GENERAL (ISO/IEC 15408-1:2009, IDT) Fechas de consulta pública: 2013-10-07 a 2013-10-21 Código: ICS 35.040 REVISIÓN: La Subsecretaría de la Calidad del Ministerio de Industrias y Productividad aprobó este proyecto de norma Oficialización con el Carácter de por Resolución No. publicado en el Registro Oficial No. Fecha de iniciación del estudio: Comité Interno del INEN: Fecha de iniciación: 2013-10-24 Fecha de aprobación: 2013-10-24 Integrantes del Comité: NOMBRES: Ing. Paola Castillo (Presidenta) Ing. Silvana Torres Sr. Wilson Angulo Ing. Raúl Martínez Ing. Erika Chicaiza Ing. Evelyn Andrade (Secretaria Técnica) INSTITUCIÓN REPRESENTADA: DELEGADA DE LA COORDINACIÒN TÉCNICA DIRECCIÓN DE REGLAMENTACIÒN DIRECCIÓN DE METROLOGÍA DIRECCIÓN DE VALIDACIÓN Y CERTIFICACIÓN DIRECCIÓN DE NORMALIZACIÓN DIRECCIÓN DE NORMALIZACIÓN Otros trámites: La Subsecretaría de la Calidad del Ministerio de Industrias y Productividad aprobó este proyecto de norma Oficializada como: Voluntaria Por Resolución No. 14217 de 2014-06-12 Registro Oficial Suplemento No. 277 de 2014-06-27
Instituto Ecuatoriano de Normalización, INEN - Baquerizo Moreno E8-29 y Av. 6 de Diciembre Casilla 17-01-3999 - Telfs: (593 2)2 501885 al 2 501891 - Fax: (593 2) 2 567815 Dirección Ejecutiva: E-Mail: direccion@inen.gob.ec Dirección de Normalización: E-Mail: normalizacion@inen.gob.ec Regional Guayas: E-Mail: inenguayas@inen.gob.ec Regional Azuay: E-Mail: inencuenca@inen.gob.ec Regional Chimborazo: E-Mail: inenriobamba@inen.gob.ec URL: www.inen.gob.ec