Un perfil de protección ( PP ) es un documento que se utiliza como parte del proceso de certificación de acuerdo con ISO / IEC 15408 y los Criterios Comunes (CC). Como forma genérica de un objetivo de seguridad (ST), normalmente lo crea un usuario o una comunidad de usuarios y proporciona una especificación independiente de la implementación de los requisitos de seguridad de garantía de la información . Un PP es una combinación de amenazas, objetivos de seguridad, supuestos, requisitos funcionales de seguridad (SFR), requisitos de garantía de seguridad (SAR) y fundamentos.
Un PP especifica criterios de evaluación de seguridad genéricos para corroborar las afirmaciones de los proveedores de una familia determinada de productos de sistemas de información. Entre otros, normalmente especifica el nivel de garantía de evaluación (EAL), un número del 1 al 7, que indica la profundidad y el rigor de la evaluación de seguridad, generalmente en forma de documentación de respaldo y pruebas, de que un producto cumple con los requisitos de seguridad especificados en el PÁGINAS.
El Instituto Nacional de Estándares y Tecnología (NIST) y la Agencia de Seguridad Nacional (NSA) han acordado cooperar en el desarrollo de PP del gobierno de EE . UU . Validados.
Propósito
Un PP establece un problema de seguridad de manera rigurosa para una colección determinada de sistema o productos, conocido como Target of Evaluation (TOE) y especifica los requisitos de seguridad para abordar ese problema sin dictar cómo se implementarán estos requisitos. Un PP puede heredar requisitos de uno o más PP.
Para que un producto sea evaluado y certificado de acuerdo con el CC, el proveedor del producto debe definir un objetivo de seguridad (ST) que puede cumplir con uno o más PP. De esta manera, un PP puede servir como plantilla para el ST del producto.
Areas problemáticas
Aunque el EAL es más fácil de comparar para los legos, su simplicidad es engañosa porque este número no tiene sentido sin una comprensión de las implicaciones de seguridad de los PP y ST utilizados para la evaluación. Técnicamente, comparar productos evaluados requiere evaluar tanto el EAL como los requisitos funcionales. Desafortunadamente, interpretar las implicaciones de seguridad del PP para la aplicación prevista requiere una gran experiencia en seguridad de TI. Evaluar un producto es una cosa, pero decidir si la evaluación CC de algún producto es adecuada para una aplicación en particular es otra muy distinta. No es obvio qué agencia de confianza posee la profundidad en la experiencia en seguridad de TI necesaria para evaluar la aplicabilidad de los sistemas de los productos evaluados por Common Criteria.
El problema de aplicar evaluaciones no es nuevo. Este problema fue abordado hace décadas por un proyecto de investigación masivo que definió características de software que podrían proteger la información, evaluó su fortaleza y mapeó las características de seguridad necesarias para riesgos específicos del entorno operativo. Los resultados se documentaron en la serie Rainbow . En lugar de separar el EAL y los requisitos funcionales, el Libro Naranja siguió un enfoque menos avanzado que define las capacidades de protección funcional y los requisitos de garantía adecuados como una sola categoría. Siete de esas categorías se definieron de esta manera. Además, el Libro Amarillo definió una matriz de entornos de seguridad y evaluó el riesgo de cada uno. Luego estableció con precisión qué entorno de seguridad era válido para cada una de las categorías del Libro Naranja. Este enfoque produjo un libro de cocina para laicos inequívocos sobre cómo determinar si un producto se podía utilizar en una aplicación en particular. La pérdida de esta tecnología de aplicación parece haber sido una consecuencia involuntaria de la sustitución del Libro Naranja por los Criterios Comunes.
Dispositivos de seguridad con PP
PP validado del gobierno de EE. UU.
- Antivirus
- Recuperación de claves
- Gestión de certificados
- Tokens
- DBMS
- Cortafuegos
- Sistema operativo
- IDS / h
PP validado del gobierno no estadounidense
enlaces externos
Referencias
- ^ M. Volkamer (2009). Evaluación del Voto Electrónico (Capítulo 8) . Saltador. ISBN 978-3-642-01661-5. Archivado desde el original el 3 de febrero de 2013.
- ^ https://www.commoncriteriaportal.org/files/ppfiles/anssi-profil_PP-2014_01.pdf