ITSEC

ITSEC (Information Technology Security Evaluation Criteria) — это набор критериев для оценки безопасности информационных технологий, разработанный в 1990 году в Европейском союзе. Он представляет собой стандарт, определяющий методологию и уровни гарантий безопасности для компьютерных систем и программного обеспечения. ITSEC стал важным этапом в развитии систем сертификации и оценки защищённости информационных технологий, предшествуя современным международным стандартам, таким как «Общие критерии» (Common Criteria, ISO/IEC 15408).

История

Разработка ITSEC началась в конце 1980-х годов как ответ на необходимость унификации подходов к оценке безопасности в странах Западной Европы. В то время в США уже действовал стандарт «Оранжевая книга» (TCSEC — Trusted Computer System Evaluation Criteria), который устанавливал классы защищённости для компьютерных систем. Однако европейские страны стремились создать более гибкую и адаптируемую систему, учитывающую особенности национальных законодательств и технологических решений.

Первая версия ITSEC была опубликована в 1990 году. В её разработке участвовали эксперты из Великобритании, Франции, Германии и Нидерландов. В 1991 году документ был принят как официальный стандарт Европейской комиссией. В 1993 году вышла вторая редакция, которая уточнила критерии оценки и добавила новые уровни гарантий.

ITSEC использовался в Европе до середины 2000-х годов, когда его постепенно вытеснил международный стандарт «Общие критерии» (Common Criteria, ISO/IEC 15408), принятый в 1999 году. Однако ITSEC продолжал применяться в ряде стран для сертификации продуктов, особенно в сфере государственной безопасности и обороны, вплоть до 2010-х годов.

Основные принципы

ITSEC базируется на нескольких ключевых принципах, отличающих его от предшествующих стандартов, таких как TCSEC:

• Функциональность и гарантия: В ITSEC разделяются два аспекта оценки — функциональные возможности безопасности (функции) и уровень доверия к их реализации (гарантия). Функциональность описывает, какие механизмы защиты реализованы в системе, а гарантия — насколько корректно и надёжно они работают.
• Независимость от архитектуры: В отличие от TCSEC, который предъявлял жёсткие требования к архитектуре системы (например, обязательное наличие монитора обращений), ITSEC оценивает любую систему, независимо от её внутренней структуры, при условии, что она соответствует заявленным функциональным требованиям.
• Гибкость: ITSEC позволяет оценивать не только операционные системы, но и прикладное программное обеспечение, базы данных, сетевое оборудование и другие компоненты информационных систем.

Структура ITSEC

Документ ITSEC состоит из нескольких частей, определяющих процесс оценки и классификацию уровней безопасности.

Уровни гарантий (E-уровни)

ITSEC определяет семь уровней гарантий, обозначаемых от E0 до E6. Каждый уровень соответствует определённой степени строгости оценки и глубины анализа системы:

• E0 — минимальный уровень, означающий, что система не прошла оценку или не соответствует никаким требованиям безопасности.
• E1 — начальный уровень, предполагающий наличие документации и тестирования функциональных спецификаций.
• E2 — уровень, включающий анализ архитектуры системы и проверку соответствия реализации спецификациям.
• E3 — уровень, требующий формального описания функциональных требований и проверки корректности их реализации.
• E4 — уровень, предполагающий формальное описание архитектуры и детальное тестирование всех механизмов безопасности.
• E5 — уровень, включающий полный анализ исходного кода и формальное доказательство корректности реализации.
• E6 — наивысший уровень, требующий формального доказательства корректности всей системы, включая её архитектуру и реализацию.

Функциональные классы (F-классы)

Функциональные возможности безопасности в ITSEC классифицируются по классам, которые описывают, какие механизмы защиты реализованы в системе. Основные классы включают:

• F-C1 — защита от случайного доступа и базовое управление доступом.
• F-C2 — более строгий контроль доступа, включая аудит и защиту от несанкционированного доступа.
• F-B1 — мандатное управление доступом и защита меток безопасности.
• F-B2 — формальное описание политики безопасности и защита от скрытых каналов.
• F-B3 — полная изоляция и защита от всех видов угроз.

Каждый класс функциональности может сочетаться с любым уровнем гарантии, что позволяет создавать гибкие комбинации для различных типов систем.

Процесс оценки

Оценка по ITSEC проводится аккредитованными лабораториями или организациями, уполномоченными национальными органами сертификации. Процесс включает несколько этапов:

1. Определение целевого уровня безопасности (Target of Evaluation, TOE) — заказчик определяет, какие функциональные требования и уровень гарантии необходимы для его системы.
2. Разработка документации — создание спецификаций безопасности, архитектурных описаний и планов тестирования.
3. Анализ и тестирование — эксперты проводят анализ документации, исходного кода и тестирование системы на соответствие заявленным требованиям.
4. Выдача сертификата — при успешном прохождении оценки система получает сертификат, подтверждающий её соответствие определённому уровню ITSEC.

Применение

ITSEC широко использовался в Европе для сертификации продуктов, предназначенных для государственных и военных нужд, а также в финансовом секторе и телекоммуникациях. Примеры применения:

• Операционные системы: Некоторые версии UNIX и Windows были сертифицированы по ITSEC для использования в правительственных учреждениях.
• Сетевые устройства: Маршрутизаторы и межсетевые экраны, предназначенные для защиты критических инфраструктур.
• Базы данных: Системы управления базами данных с расширенными функциями безопасности.

Влияние и наследие

ITSEC оказал значительное влияние на развитие стандартов безопасности. Его подход к разделению функциональности и гарантии был впоследствии принят в «Общих критериях» (Common Criteria), которые стали международным стандартом. Кроме того, ITSEC способствовал унификации требований к безопасности в Европе, что упростило взаимное признание сертификатов между странами.

В России и других странах СНГ ITSEC не был официально принят в качестве национального стандарта, но его принципы используются при разработке отечественных систем сертификации, таких как ГОСТ Р ИСО/МЭК 15408, который является аналогом «Общих критериев».

Критика

Несмотря на свои достоинства, ITSEC подвергался критике за сложность и высокую стоимость оценки, особенно для систем с высокими уровнями гарантии (E5 и E6). Кроме того, отсутствие строгих требований к архитектуре, характерных для TCSEC, иногда приводило к тому, что системы с низкой архитектурной защищённостью могли получить высокий уровень гарантии при условии формального доказательства корректности.

Источники

• Information Technology Security Evaluation Criteria (ITSEC). Version 1.2. European Commission, 1991.
• Common Criteria for Information Technology Security Evaluation (CC). ISO/IEC 15408, 1999.
• Pfleeger, C. P., Pfleeger, S. L. Security in Computing. 4th ed. Prentice Hall, 2006.
• Anderson, R. Security Engineering: A Guide to Building Dependable Distributed Systems. 2nd ed. Wiley, 2008.