Гармонизированные критерии Европейских стран (ITSEC)

Следуя по пути интеграции, Европейские страны приняли согласованные (гармонизированные) критерии оценки безопасности информационных технологий (Information Technology Security Evaluation Criteria, ITSEC) [5:7], опубликованных в июне 1991 г. от имени соответствующих органов четырех стран — Франции, Германии, Нидерландов и Великобритании.

Принципиально важной чертой европейских критериев является отсутствие априорных требований к условиям, в которых должна работать информационная система. Организация, запрашивающая сертификационные услуги, формулирует цель оценки, т. е. описывает условия, в которых должна работать система, возможные угрозы ее безопасности и предоставляемые ею защитные функции. Задача органа сертификации — оценить, насколько полно достигаются поставленные цели разработанными функциями, т. е. насколько корректны и эффективны архитектура и реализация механизмов безопасности в описанных разработчиком условиях.

Европейские критерии рассматривают следующие основные понятия составляющие базу информационной безопасности:

• * конфиденциальность, т. е. защиту от несанкционированного получения информации;
• * целостность, т. е. защиту от несанкционированного изменения информации;
• * доступность, т. е. защиту от несанкционированного удержания информации и ресурсов.

Критерии рекомендуют выделить в спецификациях реализуемых функций обеспечения безопасности более расширенный, по сравнению с «Оранжевой книгой», состав разделов или классов функций.

• * Идентификация и аутентификация.
• * Управление доступом.
• * Подотчетность.
• * Аудит.
• * Повторное использование объектов.
• * Точность информации.
• * Надежность обслуживания.
• * Обмен данными.

Чтобы облегчить формулировку цели оценки, европейские критерии содержат в качестве приложения описание десяти примерных классов функциональности, типичных для правительственных и коммерческих систем.

Кроме того, в критериях определены три уровня мощности механизмов защиты — базовый, средний и высокий.