Межгосударственный стандарт ГОСТ ISO/IEC 19896-1-2021 "Информационные технологии. Методы и средства обеспечения безопасности. Требования к компетенции специалистов по тестированию и оценке безопасности информационных технологий. Часть 1. Введение, основные понятия и общие требования" (введен в действие приказом Федерального агентства по техническому регулированию и метрологии от 2 июля 2021 г. N 614-ст)

Information technology. Security techniques. Competence requirements for information security testers and evaluators. Part 1. Introduction, concepts and general requirements

МКС 35.030

Дата введения - 30 ноября 2021 г.
Введен впервые

ГАРАНТ:

Курсив в тексте не приводится

Предисловие

Цели, основные принципы и общие правила проведения работ по межгосударственной стандартизации установлены ГОСТ 1.0 "Межгосударственная система стандартизации. Основные положения" и ГОСТ 1.2 "Межгосударственная система стандартизации. Стандарты межгосударственные, правила и рекомендации по межгосударственной стандартизации. Правила разработки, принятия, обновления и отмены"

Сведения о стандарте

1 Подготовлен Федеральным государственным учреждением "Федеральный исследовательский центр "Информатика и управление" Российской академии наук" (ФИЦ ИУ РАН), Обществом с ограниченной ответственностью "Центр безопасности информации" и Обществом с ограниченной ответственностью "Информационно-аналитический центр" (ООО ИАВЦ) на основе собственного перевода на русский язык англоязычной версии стандарта, указанного в пункте 5

2 Внесен Федеральным агентством по техническому регулированию и метрологии

3 Принят Межгосударственным советом по стандартизации, метрологии и сертификации (протокол от 30 июня 2021 г. N 141-П)

За принятие проголосовали:

Краткое наименование страны по МК (ИСО 3166) 004-97	Код страны по МК (ИСО 3166) 004-97	Сокращенное наименование национального органа по стандартизации
Армения	AM	ЗАО "Национальный орган по стандартизации и метрологии" Республики Армения
Беларусь	BY	Госстандарт Республики Беларусь
Киргизия	KG	Кыргызстандарт
Россия	RU	Росстандарт
Узбекистан	UZ	Узстандарт

4 Приказом Федерального агентства по техническому регулированию и метрологии от 2 июля 2021 г. N 614-ст межгосударственный стандарт ГОСТ ISO/IEC 19896-1-2021 введен в действие в качестве национального стандарта Российской Федерации с 30 ноября 2021 г.

5 Настоящий стандарт идентичен международному стандарту ISO/IEC 19896-1:2018 "Информационные технологии. Методы и средства обеспечения безопасности. Требования к компетенции специалистов по тестированию и оценке безопасности информационных технологий. Часть 1. Введение, основные понятия и общие требования" ("Information technology - Security techniques - Competence requirements for information security testers and evaluators - Part 1: Introduction, concepts and general requirements", IDT).

ISO/IEC 19896-1:2018 разработан подкомитетом SC 27 "Информационная безопасность, кибербезопасность и защита конфиденциальности" Совместного технического комитета JTC 1 "Информационные технологии" Международной организации по стандартизации (ISO) и Международной электротехнической комиссии (IEC).

При применении настоящего стандарта рекомендуется использовать вместо ссылочных международных стандартов соответствующие им межгосударственные стандарты, сведения о которых приведены в дополнительном приложении ДА.

Дополнительные сноски в тексте стандарта, выделенные курсивом, приведены для пояснения текста оригинала

6 Введен впервые

Введение

Целью серии стандартов ISO/IEC 19896 является предоставление фундаментальных основ, относящихся к уровню подготовки лиц, ответственных за выполнение оценки безопасности продуктов ИТ ¹⁾ и тестирование соответствия. Серия ISO/IEC 19896 описывает основы и специализированные требования, которые определяют минимальную компетенцию лиц, выполняющих оценку безопасности продуктов ИТ и тестирование соответствия с использованием установленных стандартов.

------------------------------

¹⁾_{ИТ - информационные технологии (примечание переводчика).}

------------------------------

Для достижения этой цели серия стандартов ISO/IEC 19896 включает следующее:

a) термины и определения, относящиеся к тематике уровня компетенции специалистов по тестированию и оценке безопасности продуктов ИТ;

b) фундаментальные концепции, относящиеся к компетенции в оценке безопасности и тестировании соответствия продуктов ИТ;

c) минимальные требования к компетенции специалистов по оценке безопасности и тестированию продуктов ИТ для проведения тестирования/оценки продуктов ИТ.

Серия стандартов ISO/IEC 19896 представляет интерес:

a) для специалистов по оценке информационной безопасности (ИБ) ²⁾ и тестированию соответствия;

------------------------------

²⁾_{Далее по тексту используется сокращение ИБ.}

------------------------------

b) органов подтверждения соответствия по оценке ИБ технологий и тестированию соответствия;

c) лабораторий, занимающихся оценкой ИБ и проверкой соответствия требованиям;

d) производителей или поставщиков технологий, чьи продукты ИТ могут быть предметом оценки обеспечения ИБ или тестирования соответствия;

e) организаций, предоставляющих профессиональные полномочия или признание в области компетенции.

Серия стандартов ISO/IEC 19896 разделена на части, предназначенные для специалистов по тестированию и оценке, как указано далее.

В настоящем стандарте представлены обзор определений, основных понятий и общее описание основ, используемых для представления требований к знаниям для определенных специализированных областей. Настоящий стандарт нацелен на предоставление фундаментальных знаний, необходимых для использования общих основ, представленных в других соответствующих частях серии ISO/IEC 19896.

ISO/IEC 19896-2 описывает минимальный набор требований к компетенции на каждом уровне подготовки для специалистов по тестированию соответствия, работающих с ISO/IEC 19790 и соответствующими стандартами.

ISO/IEC 19896-3 описывает минимальный набор требований к компетенции на каждом уровне подготовки для специалистов по оценке соответствия требованиям по ИБ, работающих с ISO/IEC 15408 (все части) и соответствующими стандартами.

1 Область применения

Настоящий стандарт определяет термины и устанавливает упорядоченный набор понятий и отношений для понимания требований к компетенции для специалистов по тестированию соответствия и оценке обеспечения ИБ, тем самым создавая основу для общего понимания концепций и принципов, лежащих в основе серии ISO/IEC 19896 для всех пользователей ее сообщества. Настоящий стандарт предоставляет основополагающую информацию для пользователей серии ISO/IEC 19896.

2 Нормативные ссылки

В настоящем стандарте использованы нормативные ссылки на следующие стандарты [для датированных ссылок применяют только указанное издание ссылочного стандарта, для недатированных - последнее издание (включая все изменения)]:

ISO/IEC 17000, Conformity assessment - Vocabulary and general principles (Оценка соответствия. Словарь и общие принципы)

ISO/IEC 17025, General requirements for the competence of testing and calibration laboratories (Оценка соответствия. Общие требования к компетенции испытательных и калибровочных лабораторий)

3 Термины и определения

В настоящем стандарте применены термины по ISO/IEC 17000 и ISO/IEC 17025, а также следующие термины с соответствующими определениями:

ISO и IEC ведут терминологические базы данных для их использования в стандартизации по следующим адресам:

- платформа онлайн-просмотра ISO: доступна по адресу http://www.iso.org/obp;

- Электропедия IEC: доступна по адресу http://www.electropedia.org/;

- термины и определения ITU-T: http://www.itu.int/go/terminology-databasehttp://www.itu.int/go/terminology-databasehttp://www.itu.int/go/terminology-database

3.1 компетенция (competence): Способность применять знания и навыки для достижения намеченных результатов.

[ISO/IEC 17024:2012, 3.6]

3.2 специалист по тестированию соответствия, тестировщик (conformance-tester, tester): Специалист, назначаемый для выполнения действий по тестированию в соответствии с применимым стандартом тестирования соответствия и соответствующей методологией испытаний.

Примечание - Примером такого стандарта является ISO/IEC 19790 и методология испытаний, приведенная в ISO/IEC 24759.

3.3 образование (education): Процесс получения или предоставления систематического обучения, преимущественно в школе или университете.

3.4 эффективность (effectiveness): Способность продуктивно применять знания и навыки, характеризующаяся такими признаками поведения, как предрасположенность, инициатива, энтузиазм, готовность, коммуникативные навыки, работа в команде и лидерство.

3.5 оценщик fevaluator): Лицо, назначенное для проведения оценки в соответствии с применимым стандартом оценки и соответствующей методологией оценки.

Примечание - Примером стандарта оценки является ISO/IEC 15408 (все части) с соответствующей методологией оценки, приведенной в ISO/IEC 18045.

3.6 опыт (experience): Участие на практическом уровне в проектах, относящихся к сфере компетенции.

3.7 знание (knowledge): Факты, сведения, информация, принципы или понимание, обретаемые с помощью опыта или образования.

Примечание - Примером знаний является способность описывать различные части стандарта по доверию к информации.

[ISO/IEC TS 17027:2014, 2.56, изменено - добавлено примечание 1]

3.8 лаборатория (laboratory): Организация с системой менеджмента, обеспечивающей проведение работ по оценке и/или тестированию в соответствии с определенным набором политик и процедур и использующая определенную методологию для тестирования или оценки функциональности безопасности продуктов ИТ.

Примечание - Этим организациям часто даются альтернативные названия различными регулирующими органами. Например, Центр оценки безопасности ИТ (IT Security Evaluation Facility, ITSEF), Лаборатория испытаний по общим критериям (Common Criteria Testing Laboratory, CCTL), Коммерческий центр оценки (Commercial Evaluation Facility, CLEF).

3.9 навык (skill): Способность выполнять задачу или работу с конкретным намеченным результатом, полученная в результате обучения, стажировки, опыта или другими методами.

Примечание - Примером навыков является способность идентифицировать и классифицировать риски, связанные с проектом.

[ISO/IEC 17027:2014, 2.74, изменено - добавлено примечание 1]

4 Концепции

Для обеспечения поддержки согласованности при оценке или тестировании соответствия продуктов безопасности ИТ одним из факторов является компетенция лиц, выполняющих работу по оценке или тестированию соответствия. Несмотря на предоставление стандартизированных методов оценки или тестирования соответствия, для поддержки достижения согласованности и повторяемости результатов требуется минимальная компетенция в выполнении необходимых действий. Это, в свою очередь, поддерживает взаимное признание сертификатов и подтверждений соответствия обеспечения безопасности продуктов ИТ.

ISO/IEC 17025 устанавливает общие требования к компетенции испытательных и калибровочных лабораторий и часто определяется как база для согласованности между лабораториями оценки и тестирования на соответствие требованиям по ИБ.

ISO/IEC 17025 определяет различные требования к компетенции лаборатории, которым она должна соответствовать. Они включают:

- обеспечение компетенции всего персонала, который может влиять на деятельность лаборатории;

- определение и документирование требований к компетенции для каждой функции, вовлеченной в деятельность лаборатории;

- обеспечение компетенции персонала лаборатории для выполнения той деятельности, за которую он несет ответственность; понимания важности и реагирования на отклонения, обнаруженные в отношении деятельности лаборатории;

- наличие документированного процесса постоянного мониторинга персонала, задействованного в работе лаборатории;

- ведение записей о компетенции, таких как образование, стажировка, технические знания, навыки, опыт, разрешения и мониторинг всего персонала, задействованного в работе лаборатории.

Примечание - ISO/IEC 17025 предназначен для широкого круга испытательных и калибровочных лабораторий и используется не только в области тестирования и оценки обеспечения безопасности продуктов ИТ.

5 Элементы компетенции

5.1 Компетенции

Для того, чтобы компетентно получить непротиворечивые результаты тестирования и оценки, обеспечить цель согласованности в результатах, предоставляемых различными специалистами и лабораториями, необходимо, чтобы специалисты по тестированию соответствия и оценке имели накопленный минимум необходимых знаний, навыков, опыта и квалификации, соответствующих целевому стандарту обеспечения безопасности продуктов ИТ, и были способны эффективно выполнять свои обязанности.

В данном разделе определены минимальные элементы компетенции, которые должны использоваться в стандартах серии ISO/IEC 19896 при рассмотрении требований к компетенции специалистов по тестированию соответствия и/или оценке для конкретных стандартов обеспечения безопасности продуктов ИТ.

Обучение может проводиться с целью повышения некоторых элементов компетенции сотрудников. Например, обучение часто проводится с целью приобретения или улучшения существующих навыков, повышения уровня знаний или для повышения эффективности.

Дополнительные элементы компетенции, такие как предрасположенность к чему-либо, энтузиазм, инициативность, лидерские качества, работа в команде и готовность, могут быть определены лабораториями или органами по аккредитации. Они также могут быть определены в других частях серии ISO/IEC 19896.

5.2 Знания

Обладание знаниями тестировщиками и оценщиками является одним из элементов компетенции. Ниже приведены сведения, формирующие основу для обеспечения подобающей и проверяемой совокупности знаний, связанной с настоящим стандартом обеспечения безопасности продуктов ИТ:

a) знание соответствующего стандарта обеспечения безопасности продуктов ИТ;

b) любые связанные методы тестирования или оценки;

c) политики и процедуры соответствующих регулирующих органов, органов по аккредитации и лабораторий;

d) знание архитектуры и проектов продуктов ИТ в соответствующих технологических областях.

При исследовании продуктов ИТ различные технологии могут иметь отношение к сфере работы лаборатории, и знание этих технологий следует учитывать при определении минимальных уровней компетенции. Для конкретной области технологий важны следующие категории знаний:

a) технологии, используемые при проектировании, разработке и внедрении испытываемых продуктов;

b) способ, которым продукты ИТ используются или предназначены для использования;

c) типичные уязвимости и опасные возможности, которые могут присутствовать в этой технологии;

d) область, в которой продукты ИТ используются или предназначены для использования.

Примеры технологических областей включают криптографию, биометрию, интегральные схемы, операционные системы, сетевые устройства, базы данных, смарт-карты и встроенные системы. Кроме того, технологические области иногда определяются регулирующим органом.

5.3 Навыки

Навыки, которые обычно требуются от специалистов по тестированию и оценке безопасности продуктов ИТ в соответствии с уровнями компетенции, определенными в разделе 6, включают:

a) понимание области применения и основ продукта оценки или тестирования соответствия;

b) понимание границ реализации для тестирования или цели оценки;

c) способность выбрать или адаптировать конкретный метод тестирования или оценки;

d) выполнение анализа документации;

e) понимание исходного кода, схем и базовых компонентов, используемых в определении и реализации продуктов;

f) разработку и выполнение функционального и нефункционального тестирования;

g) определение того, находятся ли условия испытаний в пределах установленных параметров, чтобы обеспечить повторяемость результатов испытаний;

h) калибровку и использование средств тестирования;

i) обеспечение надлежащего хранения, включая соответствующую целостность, доступность и конфиденциальность, данных тестирования, результатов испытаний и протоколов испытаний, включая разъяснения и отчеты об испытаниях;

j) интерпретацию результатов испытаний;

k) умение писать понятные отчеты с подробным описанием результатов своей работы;

l) способность повторить тест или воспроизвести заархивированный тест и получить те же результаты;

m) способность создать тестовую среду для достижения надлежащих условий работы безопасных продуктов.

На более высоких уровнях компетенции также могут быть востребованы такие навыки, как способность эффективного взаимодействия и управления проектами.

На уровнях компетенции 1 и 2 эти навыки могут применяться под наблюдением.

5.4 Опыт

Опытные специалисты - это специалисты, которые проводили оценки или тестирование соответствия и, возможно, учили или были наставниками других специалистов во многих проектах оценки или те