Ortak Kriterler: Dod İçin Bilgi Güvenliğinde Bir Temel Faktör

Önemli seçici bilgileriniz güvende mi? Nereden biliyorsunuz. Hayati önem taşıyan entropinizin güvenlik önlemlerine olan güveni artırmanın birkaç yolu vardır. Veriler, erişilemeyen bir yere taşınabilir. Sistemi kurmak, güncellemek ve izlemek için bir güvenlik sistemi firması kiralanabilir.

Ancak belki de en kolay ve şu anda Savunma Bakanlığı için zorunlu olan yöntem, zengin kişinin bağımsız olarak değerlendirildiği ve sertifikalandırıldığı bilgi mühendisliği ürünlerinin manipülasyonudur. Bu harika bir fikir gibi görünse de, bu tür BT ürünleri nasıl bulunur?

Cevap, adresindeki Subject Information Assurance Partnership (NIAP) Web sitesinde listelenen sertifikalı ürünlerdir. Ev (a) Standartlar ve Mühendislik Enstitüsü (NIST) ve İçişleri (a) Güvenlik Ajansı (NSA), veri mühendisliği bilimi matematiksel ürününün uluslararası standartlara, yani Park Kriterlerine (CC) uygunluğunu değerlendirmek için NIAP’yi kurdu. Resmi olarak NIAP Commons Criteria Assess and Validation Scheme (CCEVS) for IT Security olarak bilinen program, kamu ve özel sektör arasındaki bir ortaklıktır.

Plan, tüketicilerin kefalet gereksinimlerini karşılayan ticari hazır (COTS) BT ürünlerini seçmelerine yardımcı olmak ve bu ürünlerin üreticilerinin küresel pazarda kabul görmesine yardımcı olmak için uygulandı. Platformun ana hedeflerinden biri, değerlendirilen BT ürünlerinin kullanılabilirliğini iyileştirmektir.

8500.2 sayılı Yönerge’nin diğer temel unsuru, genel “dayanıklılık” seviyeleri için tanımların dahil edilmesi ve kullanıldığı ortamın ve değerine bağlı olarak, IA hizmetlerinin “temel seviyelerinin” bu canlılık seviyelerine atanmasıdır. Sağlamlık yatay yüzey açıklamaları, ISSE ve DAA’nın, KK öz güvencesinin hangi su terazisinde zorunluluğun değerlendirileceğini belirlemesine yardımcı olur. Bu, CCTL ile bir derecelendirme hizmetleri sözleşme köprüsü geliştirmede alışkanlık haline geldiği için satıcıya aktarılır.

ISSE ve DAA ayrıca değerleme güven derecesini seçerken aşağıdakileri de dikkate almalıdır: organizmanın koruduğu varlıkların değeri; bu varlıkların tehlikeye atılma riski; varlıkları tehlikeye atmaya çalışanların kaynakları; ve “gereksinimler, misyon ve müşteri ihtiyaçları”.

8500.2 numaralı talimat da 8500.1 sayılı Direktifteki kilit noktaları artırmaktadır. “1 Temmuz 2002’den önce verilen çok sayıda ödüllü program sözleşmeleri veya Savunma Bakanlığı Dışında Devlet Çapında Satın Alma Sözleşmeleri, küflenme, alımın altında bir sürüm yayınlandığında ve sunulması durumunda değerlendirilecektir.” Basitçe ifade edersek, bu, 1 Temmuz 2002’den önce ABD Savunma Bakanlığı tarafından imzalanan sözleşmeler tarafından şu anda mevcut olan ürünlerin CC’nin değerlendirilip onaylanacağı anlamına gelir.

Talimat, aynı şekilde, “zengin bir kişinin tatmin edici bir şekilde tamamlamadığı ürünler kullanılabilmesine rağmen, sözleşmelerin, belirli bir süre içinde tatmin edici bir şekilde tamamlanmasını gerektireceğini” belirtmektedir. Bu ifade, abridge görevlilerine, önceden kısaltılmış satın alma işleminin, satıcıların CC’yi tamamlamasını gerektiren hükümler içermesini sağlama görevi verir. Satıcılar ürünlerini basitçe gönderemezler ve ardından süreci tamamlayamazlar.

Satıcılar, CCTL ve Savunma ile birlikte çalışarak, öncelikle karmaşıklığa, vender kanıtı hazırlığına, özgüven derecesine ve laboratuarın uygulamalı bilime olan aşinalığına bağlı olarak herhangi bir sayıda ay olabilir. . Son olarak talimat, orijinal kısaltmanın, bunun sonraki sürümleri için kullanımın beklendiği yerde “doğrulamanın güncel tutulacağını” belirttiğini belirtir.

CC sertifikası bakımı, trafiker tarafında çaba ve planlama gerektiren başka bir görevdir, çünkü CC sertifikaları bir. Bu sertifikanın, Yeşil Kriterleri sürdürmekten sorumlu uluslararası kuruluş tarafından Şubat 2004’te yayınlanan “Güvence Sürekliliği: CCRA Gereklilikleri” başlıklı bir belgede açıklanan gelecek sürümlerinde sürdürülmesi için gereksinimler.

Bu belgenin bir kopyasını herhangi bir CCTL veya NIAP CCEVS’den temin edebilirsiniz. kısaltma görevlileri, tedarikçilerinin sözleşmelerindeki tamamlama ve sertifika bakım maddelerinin farkında olmalarını sağlamalıdır, böylece ürünler devam eden uygulama için CC sertifikasyon gereksinimlerini karşılamada ve sürdürmede başarısız olmaz. 8500.1 sayılı Direktifte olduğu gibi, sistemlerin değerlendirmeleri açıklayan 8500.2 bölümlerine uygun çözümleri kullanmasını sağlama sorumlulukları ile görevlendirilmiş bileşen başkanları.

Federal hükümetin önemini daha da vurgulayan ve değerlendirmelere yer veren kamu hukuku, değerlendirmeler için hükümler ve bu tür politika gerekliliklerinden sıklıkla aranan feragatleri içerir. Alt başlık F: Bilgi Mühendisliği bilimi, 107-314 Kamu Hukuku Bölüm 352, Aralık 2002’de kabul edildi, savunma sekreterini, yetki ürünlerinin yeteneğini doğum yapan ürünlerle sınırlamak için bir politika oluşturması için yönlendirir. uygun kriterler, planlar veya programlar. Bu tür kriterler veya planlar arasında NIAP CCEVS ve uluslararası olarak geliştirilen CC yer alır.

Tecrübeli satıcılar, tuvaleti yerine getirme politikası gerekliliklerinden bazen feragat edildiğini belirtirken, 107-314 sayılı Kamu Hukukundaki feragat maddesi, savunma bakanına bu türden feragatleri yalnızca ABD için sağlama yetkisi verir.Bu nedenle, bu kanun, CC değerlendirmeleri. Açıkça, bağımsız değerlendirmeler hem federal hükümet hem de NSTISSP # 11, 8500.1, 8500.2 ve Kamu Hukuku 107-314 için önemli.

Bu tür değerlendirmeler, satın aldığı ürünlerin satıcıların güvenlik departmanının iddialarını karşıladığına dair güven sağlamasına olanak tanır. Bu değerlendirmelerin elde edilmesi için yapılan çalışmaların büyük bir kısmı, ürünlerin kendi politikalarında belirtilen azaltma gerekliliklerine uygun olarak değerlendirilip onaylanmasını sağlamak için kredibildir.

Aynı zamanda, teminat tabakası koruma ihtiyaçlarına ve amacın uygulanmasına göre seçildiğinden, kesinlik katmanının seçimine yardımcı olmak içindir.

Bu tür değerlendirmelerin ve müteakip bakımlarının önemsiz görevler olmadığını anlarlar: Aşamaya, gerekli kanıtı sağlamak için hazırlığa ve uygulamanın karmaşıklığına bağlı olarak tamamlanması haftalar veya aylar alır. Olağan Kriter değerlendirmeleri, korumada önemli bir rol oynar. Bu nedenle, satın alma görevlileri, dar görevliler ve satıcılar kriterlere ve sürece aşina olmalıdır.