Защита информации. Техника защиты информации. Номенклатура показателей качества. ГОСТ Р 52447-2005

(утв. Приказом Ростехрегулирования от 29.12.2005 № 448-ст)

НАЦИОНАЛЬНЫЙ СТАНДАРТ РОССИЙСКОЙ ФЕДЕРАЦИИ

ЗАЩИТА ИНФОРМАЦИИ

ТЕХНИКА ЗАЩИТЫ ИНФОРМАЦИИ

НОМЕНКЛАТУРА ПОКАЗАТЕЛЕЙ КАЧЕСТВА

INFORMATION PROTECTION. INFORMATION PROTECTION TECHNOLOGY. NOMENCLATURE OF QUALITY INDICES

ГОСТ Р 52447-2005

Предисловие

Цели и принципы стандартизации в Российской Федерации установлены Федеральным законом от 27 декабря 2002 г. № 184-ФЗ «О техническом регулировании», а правила применения национальных стандартов Российской Федерации — ГОСТ Р 1.0-2004 «Стандартизация в Российской Федерации. Основные положения».

Сведения о стандарте

1. Разработан Государственным научно-исследовательским испытательным институтом проблем технической защиты информации Федеральной службы по техническому и экспортному контролю (ГНИИИ ПТЗИ ФСТЭК России), Техническим комитетом по стандартизации ТК 362 «Защита информации».

2. Внесен Управлением технического регулирования и стандартизации Федерального агентства по техническому регулированию и метрологии.

3. Утвержден и введен в действие Приказом Федерального агентства по техническому регулированию и метрологии от 29 декабря 2005 г. № 448-ст.

4. Введен впервые.

Информация об изменениях к настоящему стандарту публикуется в ежегодно издаваемом информационном указателе «Национальные стандарты», а текст изменений и поправок — в ежемесячно издаваемых информационных указателях «Национальные стандарты». В случае пересмотра (замены) или отмены настоящего стандарта соответствующее уведомление будет опубликовано в ежемесячно издаваемом информационном указателе «Национальные стандарты». Соответствующая информация, уведомления и тексты размещаются также в информационной системе общего пользования — на официальном сайте Федерального агентства по техническому регулированию и метрологии в сети Интернет.

1. Область применения

Настоящий стандарт распространяется на основные средства защиты информации и средства контроля эффективности защиты информации, входящие в состав техники защиты информации.

Настоящий стандарт устанавливает номенклатуру основных показателей качества средств защиты информации: от утечки по техническим каналам, от несанкционированного доступа, а также средств контроля эффективности защиты информации, которые должны быть включены в тактико-технические задания на научно-исследовательские и опытно-конструкторские работы по определению и реализации перспектив развития этой группы продукции и в национальные стандарты.

Настоящий стандарт не устанавливает показатели качества к составным частям, веществам и материалам, входящим в состав средств защиты информации и средств контроля эффективности защиты информации.

Группам однородной продукции, входящей в технику защиты информации, по ОК 005 присвоены коды: 50 1410, 50 1420, 50 1490 и 50 1540.

Положения настоящего стандарта предназначены для применения расположенными на территории Российской Федерации организациями, предприятиями и другими субъектами хозяйственной деятельности независимо от форм собственности и подчиненности, а также федеральными органами исполнительной власти Российской Федерации, участвующими в разработке, производстве, закупке и применении техники защиты информации.

2. Нормативные ссылки

В настоящем стандарте использованы нормативные ссылки на следующие стандарты и классификаторы:

ГОСТ Р ИСО/МЭК 9126-93. Информационная технология. Оценка программной продукции. Характеристики качества и руководства по их применению

ГОСТ Р ИСО/МЭК 15408-2-2002. Информационная технология. Методы и средства обеспечения безопасности. Критерии оценки безопасности информационных технологий. Часть 2. Функциональные требования безопасности

ГОСТ Р ИСО/МЭК 15408-3-2002. Информационная технология. Методы и средства обеспечения безопасности. Критерии оценки безопасности информационных технологий. Часть 3. Требования доверия к безопасности

ГОСТ Р 50922-96. Защита информации. Основные термины и определения

ГОСТ 15467-79. Управление качеством продукции. Основные понятия. Термины и определения

ГОСТ 28195-89. Оценка качества программных средств. Общие положения

ОК 005-93. Общероссийский классификатор продукции.

Примечание - При пользовании настоящим стандартом целесообразно проверить действие ссылочных стандартов и классификатора в информационной системе общего пользования — на официальном сайте Федерального агентства по техническому регулированию и метрологии в сети Интернет или по ежегодно издаваемому информационному указателю «Национальные стандарты», который опубликован по состоянию на 1 января текущего года, и по соответствующим ежемесячно издаваемым информационным указателям, опубликованным в текущем году. Если ссылочный документ заменен (изменен), то при пользовании настоящим стандартом следует руководствоваться замененным (измененным) документом. Если ссылочный документ отменен без замены, то положение, в котором дана ссылка на него, применяется в части, не затрагивающей эту ссылку.

3. Термины и определения

В настоящем стандарте применены термины по ГОСТ Р 50922 и ГОСТ 15467.

4. Сокращения

В настоящем стандарте использованы следующие сокращения:

ЗИ — защита информации;

СЗИ — средство защиты информации;

ТТЗ — тактико-техническое задание;

НИР — научно-исследовательская работа;

ОКР — опытно-конструкторская работа;

НСД — несанкционированный доступ;

НСВ — несанкционированное воздействие;

ОТУ — общие технические условия;

ТУ — технические условия.

5. Общие положения

5.1. Выбор номенклатуры показателей качества техники ЗИ включает процедуру установления перечня наименований количественных (качественных) характеристик и свойств средств, входящих в состав показателей качества продукции и обеспечивающих единый подход к оценке уровня качества техники ЗИ.

5.2 Обоснование выбора номенклатуры показателей качества техники ЗИ проводится с учетом:

• назначения и условий использования техники ЗИ;
• анализа требований заказчика и потребителей средств, входящих в состав техники ЗИ;
• категории объекта защиты;
• задач управления качеством техники ЗИ;
• основных требований, предъявляемых к показателям качества продукции;
• областей применения показателей качества продукции.

5.3. Состав и структура характеризуемых свойств средств, входящих в состав техники ЗИ, отражает номенклатуру показателей и включает следующие признаки классификации: свойства средств, способ выражения показателей, количество характеризуемых свойств средств, способ оценки показателей и стадии их определения.

Показатели качества техники ЗИ в соответствии с установленными признаками классификации могут описываться в соответствии с положениями руководящего документа по стандартизации [1]:

а) по характеризуемым свойствам СЗИ это показатели:

1. назначения;

2. надежности и долговечности (безотказности, сохраняемости, ремонтопригодности);

3. эргономичности;

4. технологичности;

5. эстетичности;

6. стандартизации и унификации;

7. экологичности;

8. безопасности;

9. транспортабельности;

10. экономичности;

б) по способу выражения показателя качества:

1. в натуральных единицах (безразмерные, баллы, килограммы и т.д.);

2. в стоимостных единицах;

3. в действительных значениях;

4. в относительных значениях;

в) по количеству характеризуемых свойств СЗИ показатели могут быть:

1. единичные;

2. комплексные;

3. групповые;

г) по применению для оценки показателей качества:

1. базовые;

2. дополнительные;

д) по стадии определения показателей качества:

1. прогнозируемые;

2. проектные;

3. производственные;

4. эксплуатационные.

5.4 Показатели качества техники ЗИ должны отвечать следующим основным требованиям:

• способствовать обеспечению соответствия качества техники ЗИ целям ее создания и решаемым задачам;
• быть стабильными;
• способствовать обеспечению повышения эффективности ЗИ;
• учитывать современные достижения науки и техники и основные направления технического прогресса в промышленности;
• характеризовать все свойства техники ЗИ, обусловливающие ее пригодность, удовлетворять определенные потребности в соответствии с ее назначением;
• исключать дублирование показателей при комплексной оценке уровня качества техники ЗИ;
• учитывать действующие национальные стандарты комплексной системы общих технических требований и комплексной системы контроля качества продукции.

5.5 Порядок выбора номенклатуры показателей качества техники ЗИ предусматривает определение:

• вида группы средств, входящих в состав техники ЗИ;
• цели применения номенклатуры показателей качества техники ЗИ;
• исходной номенклатуры групп показателей качества;
• исходной номенклатуры показателей качества по каждой группе;
• метода выбора номенклатуры показателей качества.

5.6. Вид (группа) средств, входящих в состав техники ЗИ, устанавливается на основании межотраслевых и отраслевых документов, классифицирующих продукцию по назначению и условиям применения.

Документом межотраслевого уровня для техники ЗИ является ОК 005, а документами отраслевого уровня — ведомственные классификаторы техники ЗИ.

5.7 Основными целями применения номенклатуры показателей качества для техники ЗИ являются:

• разработка национальных стандартов типа «общих технических требований», предъявляемых к средствам, входящим в состав техники ЗИ, а также технических регламентов;
• разработка ТТЗ на НИР по определению перспектив развития группы однородных средств, входящих в состав техники ЗИ;
• разработка ТТЗ на ОКР по созданию техники ЗИ;
• разработка предложений в планы и программы НИР и ОКР, направленных на улучшение характеристик качества техники ЗИ;
• повышение конкурентоспособности отечественной техники ЗИ;
• повышение качества закупаемой техники защиты информации для государственных нужд.

5.8. Группу (подгруппу, вид) средств, входящих в состав техники ЗИ, устанавливают в соответствии с перечнем групп однородных средств.

Классификацию внутри группы однородных средств проводят по двум признакам:

• область применения и (или) условия потребления или группы потребителей (проводят разукрупнение группы однородных средств на подгруппы);
• принцип действия и (или) конструктивно-технологические особенности средств, состав и структура (проводят разукрупнение подгрупп средств на конкретные модели, марки, типы и т.п.).

Номенклатуру групп показателей качества средств устанавливают по таблице применяемости групп показателей качества продукции в соответствии с положениями руководящего документа по стандартизации Ростехрегулирования [1].

Исходная номенклатура показателей качества моделей (марок, типов) средств, входящих в подгруппу однородной продукции, должна быть установлена на основе анализа отечественных нормативных документов и технической документации в области ЗИ, межгосударственных и международных стандартов в области обеспечения безопасности информации для различных объектов, отчетов о НИР по данной проблеме, общероссийских и ведомственных каталогов продукции, в том числе по технике ЗИ.

Номенклатуру показателей качества конкретных моделей, марок, типов средств, входящих в состав техники ЗИ, определяют с использованием аналитических зависимостей или экспертным методом. Порядок установления номенклатуры показателей качества продукции осуществляется в соответствии с положениями руководящего документа по стандартизации Ростехрегулирования [1].

6. Классификация техники защиты информации

6.1 Для классификации техники ЗИ используют следующие признаки:

• функциональное назначение ЗИ (контроль эффективности ЗИ);
• вид предотвращаемых угроз (НСД, НСВ, утечка информации по техническим каналам);
• по решаемым задачам;
• функциональная сложность (средство, комплекс, система);
• метод защиты (пассивные, активные);
• место установки (наземные, воздушные, морские и космические);
• сфера применения (специального назначения, общего применения);
• конструктивное исполнение (встроенные в объект защиты, выполненные в виде отдельного образца изделия);
• вид исполнения (технические, программные, программно-технические средства).

6.2. Основные средства, входящие в состав техники ЗИ в соответствии с ОК 005, представлены на рисунке 1.

     ┌──────────────────────────────────────────────────────────────┐
     │Техника защиты информации от ее утечки по техническим каналам,│
     │несанкционированного доступа и несанкционированных воздействий│
     └───────────────────────────────┬──────────────────────────────┘
        ┌────────────────────────────┴──────────────────────────┐
<pre class="legal-pre">  ┌─────┴───────────────────────────┐   ┌───────────────────────┴─────────┐
┌─┤   Средства защиты информации    │ ┌─┤ Средства контроля эффективности │
│ │                                 │ │ │        защиты информации        │</pre>
│ └─────────────────────────────────┘ │ └─────────────────────────────────┘
│ ┌─────────────────────────────────┐ │ ┌─────────────────────────────────┐
<pre class="legal-pre">│ │  Средства, комплексы, системы   │ │ │  Средства, комплексы, системы   │
├─┤защиты информации от ее утечки по│ ├─┤  контроля эффективности защиты  │
│ │      техническим каналам        │ │ │   информации от ее утечки по    │
│ │                                 │ │ │        техническим каналам      │</pre>
│ └─────────────────────────────────┘ │ └─────────────────────────────────┘
│ ┌─────────────────────────────────┐ │ ┌─────────────────────────────────┐
│ │Технические средства, комплексы, │ │ │Технические средства, комплексы, │
<pre class="legal-pre">├─┤  системы защиты информации от   │ ├─┤ системы контроля эффективности  │
│ │  несанкционированного доступа   │ │ │      защиты информации от       │
│ │                                 │ │ │  несанкционированного доступа   │</pre>
│ └─────────────────────────────────┘ │ └─────────────────────────────────┘
│ ┌─────────────────────────────────┐ │ ┌─────────────────────────────────┐
│ │Технические средства, комплексы, │ │ │Технические средства, комплексы, │
<pre class="legal-pre">├─┤  системы защиты информации от   │ ├─┤ системы контроля эффективности  │
│ │ несанкционированных воздействий │ │ │      защиты информации от       │
│ │                                 │ │ │ несанкционированных воздействий │</pre>
│ └─────────────────────────────────┘ │ └─────────────────────────────────┘
│ ┌─────────────────────────────────┐ │ ┌─────────────────────────────────┐
│ │Программные средства, комплексы, │ │ │Программные средства, комплексы, │
<pre class="legal-pre">│ │  системы защиты информации от   │ │ │ системы контроля эффективности  │
├─┤ несанкционированного доступа и  │ ├─┤      защиты информации от       │
│ │ несанкционированных воздействий │ │ │ несанкционированного доступа и  │
│ │                                 │ │ │ несанкционированных воздействий │</pre>
│ └─────────────────────────────────┘ │ └─────────────────────────────────┘
│ ┌─────────────────────────────────┐ │ ┌─────────────────────────────────┐
<pre class="legal-pre">└─┤      Программно-технические     │ └─┤      Программно-технические     │
  │(аппаратные) средства, комплексы,│   │(аппаратные) средства, комплексы,│
  │    системы защиты информации    │   │ системы контроля эффективности  │
  │                                 │   │        защиты информации        │
  └─────────────────────────────────┘   └─────────────────────────────────┘</pre>

защиты информации

7. Номенклатура показателей качества техники защиты информации

7.1. Номенклатура показателей качества и характеризуемые ими свойства СЗИ от утечки по техническим каналам приведены в таблицах 1 и 2.

Таблица 1

ФИЛЬТРОВ И УСТРОЙСТВ

Таблица 2

ИНФОРМАЦИИ ОТ УТЕЧКИ ПО ТЕХНИЧЕСКИМ КАНАЛАМ

7.1.1. Номенклатура показателей качества пассивных средств защиты информации от утечки по техническим каналам выбрана в соответствии с положениями руководящего документа Федеральной службы по техническому и экспортному контролю России [2]. В таблице 1 приведена номенклатура показателей качества помехоподавляющих фильтров и устройств.

7.1.2. Номенклатура показателей качества активных СЗИ от утечки по техническим каналам (по каналам побочных электромагнитных излучений, по каналам электромагнитных наводок, по акустическим каналам, по виброакустическим каналам, по электроакустическим каналам, по визуально-оптическим каналам, по оптико-электронным каналам) приведена в таблице 2.

7.2. Номенклатура показателей качества и характеризуемые ими свойства средств контроля эффективности защиты информации от утечки по техническим каналам (по каналам побочных электромагнитных излучений, по каналам электромагнитных наводок, по акустическим каналам, по виброакустическим каналам, по электроакустическим каналам, по визуально-оптическим каналам, по оптико-электронным каналам) приведена в таблице 3.

Таблица 3

ПО ТЕХНИЧЕСКИМ КАНАЛАМ

7.3 Номенклатура показателей качества и характеризуемые ими свойства средств контроля эффективности защиты информации приведены в таблицах 4 — 7.

ИМИ СВОЙСТВА СРЕДСТВ РАДИОКОНТРОЛЯ

Таблица 5

ИМИ СВОЙСТВА СРЕДСТВ КОНТРОЛЯ ЛАЗЕРНЫХ ИЗЛУЧЕНИЙ

Таблица 6

КОНТРОЛЯ ЭФФЕКТИВНОСТИ ЗАЩИТЫ ИНФОРМАЦИИ

Таблица 7

ИМИ СВОЙСТВА СРЕДСТВ МАГНИТОМЕТРИЧЕСКОГО КОНТРОЛЯ

7.4. Номенклатура показателей качества и характеризуемые ими свойства СЗИ от несанкционированного доступа выбрана в соответствии с положениями руководящих документов Федеральной службы по техническому и экспортному контролю России [3] - [6]. В таблице 8 приведена номенклатура показателей качества межсетевых экранов.

Таблица 8

НОМЕНКЛАТУРА ПОКАЗАТЕЛЕЙ КАЧЕСТВА МЕЖСЕТЕВЫХ ЭКРАНОВ

7.5. Номенклатура показателей качества и характеризуемые ими свойства программных СЗИ выбраны в соответствии с требованиями ГОСТ Р ИСО/МЭК 9126, ГОСТ Р ИСО/МЭК 15408-2, ГОСТ Р ИСО/МЭК 15408-3, ГОСТ 28195 с положениями руководящего документа Федеральной службы по техническому и экспортному контролю России [7] и приведены в таблице 9.

Таблица 9

ИМИ СВОЙСТВА ПРОГРАММНЫХ СРЕДСТВ ЗАЩИТЫ ИНФОРМАЦИИ

8. Применяемость показателей качества техники защиты информации

8.1. Перечень основных показателей качества для технических, программно-технических СЗИ и средств контроля эффективности защиты информации представлен в таблицах 1 - 7.

8.2. Применяемость показателей качества СЗИ от утечки по техническим каналам, включаемых в ТТЗ на НИР по определению перспектив развития техники ЗИ, в разрабатываемые и пересматриваемые национальные стандарты на продукцию вида «общие технические условия» и/или «технические условия», ТТЗ на ОКР и технические условия на продукцию приведена в таблице 10.

Таблица 10

ИНФОРМАЦИИ ОТ УТЕЧКИ ПО ТЕХНИЧЕСКИМ КАНАЛАМ

8.3. Применяемость показателей качества средств контроля эффективности защиты информации, включаемых в ТТЗ на НИР по определению перспектив развития техники ЗИ, в разрабатываемые и пересматриваемые национальные стандарты на продукцию вида «общие технические условия» и/или «технические условия», ТТЗ на ОКР и технические условия на продукцию приведена в таблице 11.

Таблица 11

ЭФФЕКТИВНОСТИ ЗАЩИТЫ ИНФОРМАЦИИ

Библиография

1. Методические указания по разработке государственных стандартов, устанавливающих номенклатуру показателей качества групп однородной продукции. Руководящий документ по стандартизации РД 50-64-84.

2. Средства защиты информации. Специальные и общие технические требования, предъявляемые к сетевым помехоподавляющим фильтрам. Руководящий документ (принят Гостехкомиссией России, 1999 г.).

3. Автоматизированные системы. Защита от несанкционированного доступа к информации. Классификация автоматизированных систем и требования по защите информации. Руководящий документ (принят Гостехкомиссией России, 1998 г.).

4. Средства вычислительной техники. Защита от несанкционированного доступа к информации. Показатели защищенности от несанкционированного доступа к информации. Руководящий документ (принят Гостехкомиссией России, 1998 г.).

5. Временное положение по организации разработки, изготовления и эксплуатации программных и технических средств защиты информации от несанкционированного доступа в автоматизированных системах и средствах вычислительной техники. Руководящий документ (принят Гостехкомиссией России, 1998 г.).

6. Средства вычислительной техники. Межсетевые экраны. Защита от несанкционированного доступа к информации. Показатели защищенности от несанкционированного доступа к информации. Руководящий документ (принят Гостехкомиссией России, 1998 г.).

7. Защита от несанкционированного доступа к информации. Часть 1. Программное обеспечение средств защиты информации. Классификация по уровню контроля недекларированных возможностей. Руководящий документ (принят Гостехкомиссией России, 1998 г.).

------------------------------------------------------------------