Maestría en Seguridad de Tecnologías de la Información

NORMA ISO “15408”

DESARROLLO DE APLICACIONES

Módulo: Seguridad en Desarrollo de Aplicaciones

Docente: Lic. José Marcial Flores Guerrero

Maestrantes: Cindy Baez OrozcoJorge Bryan Arraya ZavalaSamir Hoyos Calsina

2011

NORMAS INTERNACIONALES

Seguridad de las aplicaciones y Tecnologías de la Información

ISO - 15408

INTRODUCCIONCommon Criteria (en adelante CC) con un total de más de 600 páginas entre las 3 normas nos plantea una magnitud de información en estudio bastante grande.

El origen de los Criterios Comunes podemos encontrarlo en los criterios usados por diferentes países para la evaluación de la seguridad de los productos software desarrollados. Los CC combinan criterios de los:

- TCSEC (del inglés Trusted Computer System Evaluation Criteria) frecuentemente conocido como llamado “Libro Naranja” y usados por el Departamento de Defensa de EE.UU.

- ITSEC (del inglés Information Technology Security Evaluation Criteria) comúnmente conocido como “Libro Blanco” y utilizados en Europa.

- CTCPEC (del inglés Canadian Trusted Computer Product Evaluation Criteria) utilizados en Canadá.

INTRODUCCION

El principal objetivo es poner de acuerdo a clientes, desarrolladores y testers sobre qué requisitos de seguridad cumple un determinado producto.

En 1999 los Criterios Comunes en su versión 2.0 fueron adoptados por la International Organization for Standardization (ISO) como estándar internacional. En la actualidad los CC se encuentran estandarizados bajo la serie de normas ISO/IEC 15408 (ISO 15408-1,2005), (ISO 15408-2,2008) y (ISO 15408-3,200

¿Cómo se Organiza?Bajo las normas ISO 15408-1, ISO 15408-2 e ISO 15408-3 equivalentes a las Common Criteria.

La primera parte de la norma es una introducción y modelo general donde se exponen los principales conceptos de esta familia así como las bases para la unificación de criterios en la evaluación de seguridad del software.

La segunda parte es un catálogo de componentes que contienen requisitos funcionales que se han mostrado eficaces en el cumplimiento de los objetivos de seguridad de un PP o un ST.

La tercera parte expone los componentes que contienen requisitos de seguridad para los TOEs. A su vez, esta norma expone los niveles de evaluación de seguridad (EALs).

INTRODUCCION

DESARROLLO1. Introducción y modelo general; define conceptos

generales y principios de evaluación de la seguridad TI y presenta un modelo General de Evaluación. (Nivel de Aseguramiento EAL 1-7)

2. Seguridad de requisitos funcionales; establece un conjunto de componentes funcionales como una manera normal de expresar los requisitos funcionales por el TOE. (Target of Evaluation)

3. Requisitos de la convicción de la seguridad; establece un conjunto de componentes de la convicción como una manera normal de expresar los requisitos de la convicción por el TOE.

DESARROLLO• El múltiple standard ISO/IES 15408 define criterios, que por historia y continuidad se refieren a los Criterios Comunes (CC), se usan como basepara la evaluación de la seguridad de productos y sistemas TI.

• El CC permitirá equivalencia entre los resultados de la evaluación de la seguridad independientes.Provee un conjunto de requerimientos para las funciones de seguridad de productos y sistemas TI y para las medidas de seguridad aplicadas a ellosdurante la evaluación.

DESARROLLO• El CC es útil como una guía para el desarrollo de productos o sistemas con funciones de seguridad de TI y para la obtención de productos comerciales y sistemas con funciones altamente complejas y de gran confiabilidad.Durante la evaluación, un producto o sistema de TI es conocido como un Target of Evaluation (TOE).

• El CC dirige sobre la protección de la información desde el descubrimiento de lo no autorización, modificación, o pérdida y uso de la misma.

• CC debido a que ciertos temas que lo envuelven en técnicas altamente especializadas o porque no se consideran dentro del alcance de la seguridad de las TI, están fuera del alcance del CC. Alguno de estos son:

PROPOSITO• CONSUMIDORES: El CC juega un rol importante en técnicas de apoyo para la selección de los requisitos de seguridad TI y para expresar sus necesidades organizacionales. El CC es escrito para asegurar que la evaluación satisfaga las necesidades de los consumidores, este es el propósito fundamental y la justificación para el proceso de evaluación. Los consumidores pueden usar los resultados de evaluaciones para ayudar a decidir si un producto evaluado o sistema satisface sus necesidades de la seguridad.

PROPOSITO• EVALUADORES: El CC contiene criterios para ser usados por evaluadores cuando forma juicios sobre la conformidad del TOE sobre sus requisitos de la seguridad. El CC describe el conjunto de acciones generales que el evaluador llevara a cabo y las funciones de la seguridad que ejecutaran estas acciones. Note que el CC no especifica procedimientos para llevar esas acciones.

• OTROS: mientras se orienta el CC hacia especificación y evaluación de las propiedades de seguridad TI de TOE, también seria útil como material de referencia a otras partes con un interés en la seguridad TI o responsabilidad.

AMBITO DE LA SEGURIDAD• Ambiente físico que identifica todo aspecto de la operación del ambiente, pertinente a la seguridad del TOE, incluso conocimiento físico y personal de la seguridad.

• Los recursos requieren protección por el TOE, al que requisitos de seguridad o políticas se aplicarán; éste incluirá recursos que se refieren directamente, tal como archivos y banco de datos, así como recursos que están sujetas indirectamente a requisitos de la seguridad, tal como credenciales de autorización t aplicación TI.

• El TOE propone que dirigiría el tipo de producto y el uso deseado de él. Investigación de las políticas de seguridad, amenazas y riesgos deben permitir ;

METODOLOGIA DEL COMMON CRITERIA

• DESARROLLO: El CC no asigna ninguna metodología del desarrollo específico o del modelo ciclo de vida. Es esencial que los requisitos de la seguridad lo impusieran en el desarrollo TI sea eficaz en contribuir con los objetivos de la seguridad de consumidores. A menos que se establezcan requisitos satisfactorios al principio del desarrollo del proceso, el producto final resultante, sin embargo, puede no reunir los objetivos de sus consumidores anticipados. Los requisitos del CC es que debe haber suficientes representaciones del diseño, donde se requiera;

ISO 15408CRITERIOS DE EVALUACION DE SEGURIDAD PARA TI

• Esta basado en el “criterio común” para evaluar productos de TI y sistemas.

• La función de “criterio común” es una norma para medir la seguridad y confiabilidad asociada con un producto.

• El objetivo es prevenir el acceso no autorizado, modificación o pérdida de uso, similar a confidencialidad, integridad y disponibilidad.

• Fue publicado en 1999 por un consorcio de EE.UU y la ISO Europea, y fue autorizado al ISO como ISO/IEC15408

ISO 15408• Los usuarios pueden usar la norma para determinar si una aplicación o sistema cumple con sus requerimientos.

• Los diseñadores usan la norma como una guía para diseñar y construir un producto.

• Los evaluadores usan la norma para probar los productos y determinar que funcionalidad esta incluida.

• Pueden evaluarse usando el “criterio común” incluso los sistemas operativos, redes, sistemas distribuidos y aplicaciones.

ISO 15408Las 11 clases son:

• Auditoria de Seguridad• Identificación y Autenticación• Utilización de los recursos• Soporte de Criptografía• Administración de Seguridad• Control de Acceso• Comunicación• Privacidad• Rutas Seguras (Canales)• Protección de datos del Usuario• Protección de Funciones de Seguridad.

ISO 15408Los 8 requisitos de confiabilidad son:

• Administración de la configuración• Documentación de los procedimientos• Valoración de la vulnerabilidad• Entrega y Operación• Apoyo al ciclo de vida• Mantención de la confiabilidad• Desarrollo• Pruebas

NIVELES DE ASEGURAMIENTO (EAL)Proporcionan una escala ascendente que permite un balance del nivel de seguridad y el costo asociado a lograr dicho nivel. Este se divide en los siguientes Niveles de Aseguramiento:

EAL-1: FUNCIONALMENTE PROBADO: Aplicable en escenarios donde se requiera algún nivel de confianza en el correcto funcionamiento del sistema, pero no se consideren serias las amenazas a la seguridad.

EAL-2: ESTRUCTURALMENTE PROBADO: Requiere la cooperación del desarrollador para la entrega de información de diseño. Aplicable en situaciones donde desarrolladores o usuarios requieren un nivel bajo a moderado de seguridad independientemente determinada, cuando no es posible contar con el registro completo del diseño.

EAL-3: METODICAMENTE PROBADO Y CHEQUEADO: Aplicable en los casos en que los usuarios o desarrolladores requieren un nivel moderado de seguridad independientemente determinada, además de una investigación acuciosa del TOE y de su desarrollo, sin reingeniería sustancial.

NIVELES DE ASEGURAMIENTO (EAL)EAL-4: METODICAMENTE DISEÑADO, PROBADO Y REVISADO:Nivel de seguridad más alto alcanzable con factibilidad económica de adaptar líneas de productos existentes. Aplicable en circunstancias en que se requiere un nivel de seguridad moderado a alto, determinado en forma independiente, en productos convencionales que necesiten costos de reingeniería específicos de seguridad.

EAL-5: SEMIFORMALMENTE DISEÑADO Y PROBADO: Aplicable cuando desarrolladores o usuarios requieren un alto nivel de seguridad independientemente determinada, en un desarrollo planificado que demanda una aproximación de diseño rigurosa, pero sin incurrir en costos no razonables atribuibles a técnicas de seguridad especializadas.

EAL-6: DISEÑO SEMIFORMALMENTE VERIFICADO Y PROBADO:Orientado a generar TOEs de seguridad para proteger recursos de alto valor, ante riesgos significativos. Aplicable al desarrollo de productos de seguridad para su aplicación en situaciones de alto riesgo, donde el valor de los recursos protegidos justifica al costo adicional.

NIVELES DE ASEGURAMIENTO (EAL)

EAL-7: DISEÑO FORMALMENTE VERIFICADO Y PROBADO: Aplicable al desarrollo de TOEs de seguridad para su aplicación en ambientes de riesgo extremo y/o cuando el alto valor del recurso protegido justifica el elevado costo.

ISO/IEC IS 15408 Criterios Comunes para la evaluación de laseguridad de las tecnologías de la información