Chương 1 Tìm hiểu chung I.Tổng quan: Một hồ sơ bảo vệ là một bản tóm tắt những đặc tả về các khía cạnh an toàn cần thiết của một sản phẩm Công nghệ thông tin. Nó là một sản phẩm độc lập, mô tả một dòng các sản phẩm có thể sẽ thỏa mãn những yêu cầu cần thiết này. Những yêu cầu về chức năng và sự bảo đảm bảo vệ phải được tính đến trong cùng một hồ sơ bảo vệ, với một mô tả hợp lý về những mối đe dọa cần được xác định trước và dự tính phương pháp sử dụng. Hồ sơ bảo vệ chỉ rõ những yêu cầu về thiết kế, thi hành, và cách sử dụng của các sản phẩm Công nghệ thông tin.
Hồ sơ bảo vệ có thể được tích hợp từ những thành phần chức năng và sự đảm bảo độc lập hoặc cần xác định. Một thành phần chức năng là một thiết lập xem như các yêu cầu về chức năng bảo vệ đã được thi hành trong sản phẩm Công nghệ thông tin. Một thành phần bảo đảm là một thiết lập được xem như các yêu cầu về sự phát triển và hoạt động đánh giá, kiểm soát bởi người sản xuất và người đánh giá trong khi xây dựng và đánh giá một cách độc lập của một sản phẩm Công nghệ thông tin. Để thuận tiện, một nhóm các thành phần của chức năng và sự bảo đảm được tích hợp trong một gói xác định trước.
Trong khi xây dựng hồ sơ bảo vệ, việc thêm vào các thuộc tính phải được cân nhắc giữa những chức năng và sự bảo đảm. Nguồn gốc của hồ sơ bảo vệ 4 LUAN VAN CHAT LUONG download : add luanvanchat@agmail.com Ngu yễn Xuân Phư ơng – Đánh giá an toàn công nghệ thông tin Người tiêu dùng và nhà sản xuất trong các tổ chức chính phủ hoặc khu vực kinh tế tư nhân có thể phát triển một hồ sơ bảo vệ để đáp ứng lại đặc tả cần thiết về bảo vệ thông tin. Những nhà phát triển hồ sơ, hoặc nhà tài trợ, với một sự cần thiết an toàn có thể đề xuất một hồ sơ bảo vệ đề cập đến những vấn đề họ cần, những đặc điểm đặc trưng hơn, những nhóm các nhà tài trợ cùng chung những yêu cầu cần thiết có thể phối hợp với nhau để đề xuất một hồ sơ thỏa mãn mong muốn chung. Nhiều nhà tài trợ hỗ trợ một cách có hiệu quả một hồ sơ để thể hiện một thị trường rộng lớn nhiều tiềm năng của các nhà sản xuất sản phẩm Công nghệ thông tin.
Một hồ sơ bảo vệ duy nhất phản ánh những yêu cầu cần thiết về những thiết lập khác nhau của các nhà tài trợ. Ví dụ các ngân hàng có thể đề xuất một hồ sơ bảo vệ đảm bảo việc chuyển đổi các khoản tín dụng hay Bộ quốc phòng có thể đề xuất một hồ sơ bảo vệ cho các ứng dụng quân sự. Một hồ sơ bảo vệ riêng lẻ có thể cũng áp dụng cho nhiều sản phẩm Công nghệ thông tin, thể hiện tính đa dạng của khả năng giải quyết các yêu cầu phác thảo của hồ sơ. Một nhà sản xuất, người đã nhận ra một thị trường sản phẩm an toàn Công nghệ thông tin, cũng có thể đề xuất một hồ sơ theo cách phản ánh những yêu cầu và mong muốn của khách hàng, và để thuận tiện cho việc đánh giá trong tương lai tương phản với những sự cần thiết đó.
Hồ sơ bảo vệ mong muốn đáp ứng toàn bộ những yêu cầu của khách hàng và thúc đẩy gia tăng công nghệ. Do đó hồ sơ bảo vệ là một tham chiếu chung xung quanh các khách hàng, các nhà sản xuất và các nhà đánh giá. Nội dung Hồ sơ bảo vệ Một hồ sơ bảo vệ chứa năm phần chính: Mô tả các thành phần, cơ sở hợp lý, những yêu cầu về chức năng, những yêu cầu về đảm bảo phát triển, những yêu cầu về đảm bảo đánh giá. 5 LUAN VAN CHAT LUONG download : add luanvanchat@agmail.com Ngu yễn Xuân Phư ơng – Đánh giá an toàn công nghệ thông tin Phần mô tả các phần tử cung cấp một cách minh bạch và mô tả các thông tin cần thiết để nhận dạng, phân loại, đăng ký, và tham chiếu chéo một hồ sơ bảo vệ trong việc đăng ký của hồ sơ.
Phần này mô tả ngắn gọn về hồ sơ, bao gồm một sự mô tả về các vấn đề bảo vệ thông tin cần phải giải quyết. Phần này áp dụng cho tất cả những người có khả năng sử dụng hồ sơ quyết định dùng hay không hồ sơ để có thể ứng dụng được tới việc bảo vệ thông tin cần thiết của khác hàng. Phần cơ sở hợp lý cung cấp những lí lẽ cơ bản cho một Hồ sơ bảo vệ, bao gồm lường trước đe dọa, môi trường, những giả định về cách sử dụng. Nó cũng thể hiện một cách chi tiết hơn những vấn đề bảo vệ mà sản phẩm Công nghệ thông tin cần giải quyết thỏa mãn những yêu cầu của Hồ sơ.
Phần này mô tả những vấn đề bảo vệ đủ chi tiết cho những người sản xuất để hiểu các khả năng phân tán của vấn đề. Nó cũng cung cấp những thông tin cho khách hàng về vấn đề sản phẩm Công nghệ thông tin như thế nào thì giải quyết thành công vấn đề, có thể sử dụng sự hỗ trợ của một tâp hợp các chính sách bảo mật xác định trước. Phần những yêu cầu về chức năng sẽ đưa ra ranh giới bảo vệ thông tin mà sản phẩm công nghệ thông tin phải cung cấp. Những đe dọa tới thông tin nằm trong vùng biên giới này phải được ngăn chặn bởi những chức năng ở trong vùng được bảo vệ.
Những đe dọa có thể mạnh hơn sẽ yêu cầu những chức năng bảo vệ hết sức mạnh mẽ. Chức năng bảo vệ của sản phẩm Công nghệ thông tin được hỗ trợ bởi một tập hợp các chính sách bảo mật và kết hợp với giả định nào đó về cách sử dụng được dự tính của sản phẩm và môi trường hoạt động đã dự tính trước. Phần những yêu cầu bảo đảm sự phát triển bảo phủ toàn bộ mọi giai đoạn phát triển của sản phẩm Công nghệ thông tin, từ khâu thiết kế ban đầu đến khi thực hiện đầy đủ. Một cách cụ thể, những yêu cầu bảo đảm sự phát triển bao gồm quy trình phát triển, môi trường phát triển, và hoạt động hỗ trợ những yêu cầu.
Thêm 6 LUAN VAN CHAT LUONG download : add luanvanchat@agmail.com Ngu yễn Xuân Phư ơng – Đánh giá an toàn công nghệ thông tin vào đó, từ nhiều yêu cầu bảo đảm không thật sự có thể thử nghiệm được, nó rất cần thiết để nghiêm cứu những bằng chứng phát triển của sản phẩm Công nghệ thông tin hoặc tài liệu để xác minh rằng những yêu cầu đã được thỏa mãn. Những yêu cầu về bằng chứng sự phát triển bao hàm trong một Hồ sơ bảo vệ chắc chắn để nhà sản xuất tạo ra và giữ lại tài liệu thích hợp trong khi phát triển sản phẩm đến những phân tích trong giai đoạn đánh giá và duy trì sản phẩm. Phần những yêu cầu bảo đảm đánh giá chỉ rõ loại và mức độ đánh giá việc thực hiện một sản phẩm công nghệ thông tin, phát triển trong sự đáp ứng được một Hồ sơ bảo vệ nhất định. Tổng quát cho một sản phẩm công nghệ thông tin, phạm vi và mức độ đánh giá biến thiên theo đe dọa lường trước, xác định cách thức sử dụng, và môi trường giả định như đã chỉ rõ bởi những người phát triển hồ sơ trong phần cơ sở hợp lý.
Cấu trúc của Hồ sơ bảo vệ: Miêu tả các Cung cấp minh bạch và mô tả thông tin cần thiết để nhận dạng phần tử duy nhất, đăng ký, và tham chiếu chéo một hồ sơ bảo vệ trong việc đăng ký hồ sơ. Bao gồm một mô tả về các vấn đề bảo vệ thông tin cần phải giải quyết. Cơ sở hợp lý Cung cấp những lí luận cơ sở cho một hồ sơ bảo vệ, bao gồm ngăn chặn đe dọa, môi trường, và giả định về cách sử dụng. Hướng tới sự hỗ trợ cho việc tổ chức những chính sách an toàn.
Những yêu Thiết lập biên giới của việc chịu trách nhiệm bảo vệ thông tin, cầu về chức nó phải cung cấp bởi một sản phẩm IT, lường trước những đe năng dọa tới thông tin trong vùng biên giới đã thiết lập. Những yêu Chỉ rõ những yêu cầu cho tất cả các bước phát triển một sản 7 LUAN VAN CHAT LUONG download : add luanvanchat@agmail.com Ngu yễn Xuân Phư ơng – Đánh giá an toàn công nghệ thông tin cầu bảo đảm phẩm IT từ khâu thiết kế đến khi thực hiện. Bao gồm quy trình phát triển phát triển, môi trường phát triển, hỗ trợ hoạt động, chứng minh sự phát triển. Những yêu Chỉ rõ những yêu cầu đảm bảo loại và mức độ đánh giá sự câu bảo đảm thực hiện phát triển một sản phẩm IT trong việc đáp ứng được đánh giá một hồ sơ bảo vệ phù hợp việc ngăn chặn những đe dọa, dự định phương pháp sử dụng, và giả định về môi trường.
Chương 2 Quá trình phát triển Quá trình phát triển Những hồ sơ bảo vệ của chính phủ U.0 (1/3/2004) Tổ chức bảo đảm thông tin quốc gia (NIAP) Quá trình phát triển hồ sơ bảo vệ I. Giới thiệu Để phù hợp với luật chung 100-235 (Bộ luật an toàn máy tính 1987), viện nghiên cứu về chuẩn và công nghệ quốc gia (NIST) tổ chức an ninh quốc gia (NSA) cùng nhau hợp tác để phát triển các yêu cầu bảo mật các lĩnh vực công nghệ có tính chất khóa thiết yếu trong sự bảo vệ hệ thống và mạng lưới thông tin 8 LUAN VAN CHAT LUONG download : add luanvanchat@agmail.com Ngu yễn Xuân Phư ơng – Đánh giá an toàn công nghệ thông tin liên bang, bao gồm các bang ở trong nước Mỹ. Sự hướng dẫn nói chung về nỗ lực phát triển của NIST – NSA chứa trong phần đính kèm A (Cuối chương) Mỗi khi có thể thực hiên được, yêu cầu bảo mật sẽ thể hiện như là hồ sơ bảo vệ sử dụng chuẩn ISO/IES 15408, hoặc tiêu chí chung CC. Trong phần sau, quan hệ giữa yêu cầu bảo mật và hồ sơ bảo vệ sẽ được đề cập đến những sự tương đương.
NIST và NSA nỗ lực thực hiện công việc: * Bảo đảm cho chính phủ U.S có sự tính toán bao hàm toàn bộ sự giới thiệu về hồ sơ bảo vệ của các lĩnh vực công nghệ có tính chất chìa khóa; * Sự cộng tác bên ngoài về tính cộng đồng và khu vực kinh tế tư nhân được phát triển và thu được sự nhất trí dựa trên tầm quan trọng của hồ sơ bảo vệ trong khi thảo luận các bộ phận bảo vệ.