ISO 15408 Ortak Kriterler Danışmanlığı

ISO 15408 Ortak Kriterler Danışmanlığı

Bilgi teknolojileri ürünlerinin güvenlik seviyelerini belirlemek ve belgelendirmek için kullanılan en önemli standart Ortak Kriterler (Common Criteria) adıyla da bilinen TS ISO/IEC 15408 standardıdır. Bu standart sayesinde bir ürünün veya sistemin güvenlik fonksiyonuna bağlı olarak garanti seviyesi belirlenir.

Ortak kriterler ürün değerlendirme öncesi ve esnasında yapılması gereken çalışmalar ve Ortak Kriterler laboratuvarına sunulması gereken bir takım dokümanlar bulunmaktadır. Nihai sonucu doküman çıktısı olan bu çalışmaların öncesinde alınacak Ortak Kriterler danışmanlık hizmetiyle ürünün tam anlamıyla ortak kriterlere uygun olarak irdelenmesi gerekmektedir. Danışmanlık hizmeti, mimari tasarımdan nihai ürünün son kullanıcı dokümanı ile test süreçlerine kadar bütün süreçleri içerisinde barındıran çalışmaların yapılmasına, ürünün güvenlik özelliklerinin belirginleştirilmesine ve ortak kriterlere uygun şartlara göre çevrilmesine rehberlik eder. Bu anlamda ürünün geliştirilmesi sürecinde alınması büyük önem arz etmektedir.

Ortak Kriterler değerlendirmesi ve belgelendirmesi uzun çalışma gerektiren ve zaman alan bir süreçtir. Bu süreci kolaylaştırmak ve hızlandırmak amacıyla danışmanlık hizmetinin konusunda deneyimli ve uzman kişilerden seçilmesi önemlidir. Dokümantasyon hazırlanması sırasında, Ortak Kriterlerin kendi terminolojisi üzerinden, standart kitaplarında bulunan tanımlamaların kullanılması ve bu tanımların ürüne uygun hale veya ürünün bu şartlara uygun hale getirilmesi gerekir. Kısaca başlıklar halinde verilen danışmanlık hizmeti aşağıda listelenmiştir.

  • Güvenlik hedefi (Security Target) dokümanının hazırlanması
  • Ürün tasarımında güvenlikle ilgili hususların gözden geçirilmesi
  • Tasarım dokümanlarının hazırlanması
  • Fonksiyonel spesifikasyonun hazırlanması test dokümanlarının oluşturulması
  • Yaşam döngüsü dokümanlarının hazırlanması
  • Kılavuz dokümanlarının hazırlanması
  • Açıklık analizi ve açıklıkların tespit edilmesi konusunda öngörüde bulunulması

Danışmanlık Hizmeti alınmasına karar verildikten sonra, bütün paydaşların katılımıyla kick off meeting yapılarak çalışmalara resmi başlangıç yapılır. Sonrasında Danışman tarafından paylaşılan iş planına göre karşılıklı çalışmalara başlanır. Eğer ürüne ait herhangi bir Koruma Kılavuzu (Protection Profile) bulunmuyorsa portal sitesinden daha önce değerlendirmesi yapılmış ürünler içerisinden değerlendirilmesi yapılacak ürüne benzer ürünlerin araştırılması yapılır. Eğer birebir değerlendirmeye uyan bir ürün değerlendirmesi bulunmuyorsa, ikili görüşmelerle istenen Güvenlik Garanti Seviyesine uygun olarak değerlendirilmek istenen ürün incelenir. Sonrasında aşağıda belirtilmiş iş adımlarına göre çalışmalara devam edilir. Bu süreç içerisinde danışman laboratuvar ile de teknik ve idari süreçleri takip eder ve iş takvimi ile laboratuvar takvimi yönetimini şirket ile birlikte yürütür. Danışman bu süreçte hem ürüne hakim olur hem de müşterilerine ortak kriterler disiplinini de aktarmış olur.

Danışmanlık sürecinde yapılan çalışmalar 5 iş paketine ayrılır. Bu iş paketlerinin her biri ayrıca, Ortak Kriterler değerlendirmesi sürecinde laboratuvar ve sertifikasyon makamı tarafından yapılan iş kırılımlarına denk gelir.

Her bir iş paketinde belirli iş adımları olup bu adımlar sonunda çıktılar üretilir.

Ürünün sertifika almak için müracaat ettiği güvenlik seviyesi (EAL-Evaluation Assurance Level) ne olursa olsun iş paketleri değişmeyecektir. Ancak iş paketi içerisinde iş adımları ve üretilecek çıktılarda değişiklikler olabilir.

Aşağıdaki tabloda Ortak kriterler sertifikasyonlarında yaygın kullanılan EAL 2 düzeyindeki bir sertifikasyon için İş Paketleri, İş adları ve üretilecek çıktılar görülmektedir.

 

EAL 2 Seviyesinde Danışmanlık Süreci İçin Yapılacak Çalışmalar ve Üretilecek Çıktılar

İş Paketi

İş Adı

Üretilecek Çıktı

ASE

Güvenlik Hedefi Dokümanı Hazırlama

1- Güvenlik Hedefi Dokümanı

ADV

Tasarım Dokümanı Hazırlama

2- Tasarım Dokümanı

Fonksiyonel Belirtim Dokümanı Hazırlama

3- Fonksiyonel Belirtim Dokümanı

Güvenlik Mimarisi Dokümanı Hazırlama

4- Güvenlik Mimarisi Dokümanı

AGD

Kurulum ve Kullanıcı Kılavuzu Dokümanı Hazırlama

5- Kurulum ve Kullanıcı Kılavuzu Dokümanı

ALC

Konfigürasyon Yönetim Planı Dokümanı Hazırlama

6- Konfigürasyon Yönetim Planı Dokümanı

Teslim Dokümanı Hazırlama

7- Teslim Dokümanı

ATE

Ürün Testleri Yapma ve Informal Olarak Kaydetme

8- Test Kayıt Formları

Formal Ürün Test Kayıtları ve Ortak Kriterlere Yönelik Test Kapsam ve Derinlik Dokümanı Hazırlama

9- Testler ve Test Kapsamı Dokümanı

 
EAL 2 Danışmanlık broşürüne erişmek için lütfen tıklayınız.
EAL 3 Danışmanlık broşürüne erişmek için lütfen tıklayınız.
EAL 4 Danışmanlık broşürüne erişmek için lütfen tıklayınız.