Защита информации обеспечение информационной безопасности в организации основные термины и определения. Новые госты по иб или как фстэк меняет методологическую базу Стандарты обеспечения информационной безопасности рф

Для создания эффективной системы защиты разработан ряд стандартов. Главная задача стандартов информационной безопасности - создать основу для взаимодействия между производителями, потребителями и экспертами по квалификации продуктов информационных технологий. Многие правительственные организации и частные компании приобретают только такие системы, которые удовлетворяют определенным наборам требований. Наиболее значимые стандарты информационной безопасности: критерии безопасности компьютерных систем Министерства обороны США, US TCSEC (US Trusted Computer Systems Evaluation Criteria , «Оранжевая книга»; европейский Стандарт European ITSEC (Information Technology Security Evaluation Criteria ).

Британский институт стандартов (BSI ) при участии коммерческих организаций: Shell, National Westminster Bank, Midland Bank, Unilever, British Telecommunications, Marks & Spencer, Logica и др. разработал стандарт информационной безопасности. Стандарт был утвержден в 1998 г. и получил название «BS 7799 управление информационной безопасностью организации вне зависимости от сферы деятельности компании». Служба безопасности, информационный отдел, руководство компании должны работать согласно принятому регламенту. Британский стандарт BS 7799 поддерживается в 27 странах мира, в числе которых страны Британского Содружества, Швеция и Нидерланды. В конце 2000 г. международный институт стандартов ISO на базе британского BS 7799 разработал и выпустил международный стандарт менеджмента безопасности ISO/IEC 17799 .

Группа государств, объединив свои усилия в рамках Международной организации по стандартизации (ISO) , разработала новый стандарт безопасности ISO 15408 , призванный отразить возросший уровень сложности технологий и растущую потребность в международной стандартизации. В его создании участвовали: Национальный институт стандартов и технологии и Агентство национальной безопасности (США), Учреждение безопасности коммуникаций (Канада), Агентство информационной безопасности (Германия), Агентство национальной безопасности коммуникаций (Голландия), органы исполнения Программы безопасности и сертификации Информационных Технологий (Англия), Центр обеспечения безопасности систем (Франция). После окончательного утверждения стандарта ему был присвоен номер ISO 15408.

Стандарт пришел на смену старым методикам оценки. Он получил известность как Стандарт Common Criteria for Information Technology Security Evaluation (CCITSE – общие критерии оценки безопасности информационных технологий) и был утвержден в качестве международного в 1999 году. Страны, ратифицировавшие Common Criteria , рассчитывают, что использование этого стандарта приведет к повышению надежности продуктов, в которых применяются технологии защиты данных. Он поможет потребителям информационных технологий лучше ориентироваться при выборе программного обеспечения, и будет способствовать повышению уверенности пользователей в безопасности информационных продуктов.

В соответствии с требованиями Common Criteria продукты определенного класса (например, операционные системы) оцениваются на соответствие ряду функциональных критериев и критериев надежности – «профилей защиты» (Protection Profiles ). Существуют различные определения профилей защиты в отношении операционных систем, брандмауэров, смарт-карт и прочих продуктов, которые должны соответствовать определенным требованиям в области безопасности. Например, профиль защиты систем с разграничением доступа (Controlled Access Protection Profile) действует в отношении операционных систем и должен заменить старый уровень защиты С2. Стандарт Common Criteria также устанавливает ряд гарантированных уровней соответствия Evaluation Assurance Levels (EAL) , используемых при оценке продуктов.

Сертификация на более высокий уровень EAL означает более высокую степень уверенности в том, что система защиты продукта работает правильно и эффективно. Профили защиты для уровней EAL1-EAL4 являются общими для всех стран, поддерживающих стандарт Common Criteria . Для высших уровней EAL5-EAL7 профили защиты индивидуально разрабатываются каждой страной для учета национальных особенностей защиты государственных секретов. Поэтому EAL4 является высшим уровнем, которого могут достигнуть продукты, не создававшиеся изначально с учетом соответствия требованиям EAL5-EAL7 .

Признание соответствия того или иного продукта стандарту Common Criteria происходит лишь после прохождения им весьма строгой и длительной процедуры проверки.

Данный стандарт является гарантией качества: принимая решение о приобретении информационного продукта, пользователи могут оценить его на основе результатов строгого независимого тестирования, учитывающего весь комплекс критериев. Таким образом, стандарт Common Criteria способствует повышению требований к качеству продуктов и позволяет утверждать, что продукт обладает надежной защитой. Преимущества стандарта Common Criteria :

Стандарт помогает пользователям объективно оценивать защищенность информационных продуктов;

Пользователи могут применять четкие и универсальные критерии для оценки собственных потребностей и выбора необходимого уровня защиты;

Пользователям становится проще определить, соответствует ли конкретный продукт их требованиям в области безопасности;

Пользователи могут доверять оценкам, сделанным в ходе аттестации на соответствие стандарту, поскольку оценивание производится независимой тестирующей лабораторией; государственные структуры и крупные компании все чаще ориентируются на этот стандарт при принятии решений о покупке;

Поскольку Common Criteria является международным стандартом, организации, использующие сертифицированные по этому стандарту продукты, будут удовлетворять требованиям безопасности, которые предъявляются к филиалам этой организации в каждой стране.

Стандарт Common Criteria ISO 15408 является также государственным стандартом России. С 1 января 2004 года были введены в действие следующие государственные стандарты:

ГОСТ Р ИСО/МЭК 15408-1-2002 Методы и средства обеспечения безопасности. Критерии оценки безопасности информационных технологий. Часть 1. Введение и общая модель;

ГОСТ Р ИСО/МЭК 15408-2-2002 Методы и средства обеспечения безопасности. Критерии оценки безопасности информационных технологий. Часть 2.Функциональные требования безопасности;

ГОСТ Р ИСО/МЭК 15408-3-2002 Методы и средства обеспечения безопасности. Критерии оценки безопасности информационных технологий. Часть 3.Требования доверия к безопасности.

Главные преимущества стандартов - полнота требований к информационной безопасности, гибкость в применении и открытость для последующего развития с учетом новейших достижений науки и техники. Принятие новых стандартов и взаимное международное признание сертификатов стандарта Common Criteria позволяют:

Пользователям сократить свои затраты на сертификацию продуктов;

Сертифицирующим органам привлечь дополнительный поток заказов на сертификацию из-за рубежа;

Производителям российских высокотехнологичных продуктов получить международные сертификаты в России;

Среди различных стандартов по безопасности информационных технологий, существующих в нашей стране, следует выделить ряд документов, регламентирующих защиту взаимосвязи открытых систем; нормативных документов по средствам, системам и критериям оценки защищенности средств вычислительной техники и автоматизированных систем; документов, ориентированных преимущественно на защиту государственной тайны (табл. 6.1.)

Таблица 6.1.

Нормативные документы, регламентирующие оценку защищенности информационных технологий

№ п/п	Номер документа	Описание
	ГОСТ Р ИСО 7498-2-99	Информационная технология. Взаимосвязь открытых систем. Базовая эталонная модель. Часть 2. Архитектура защиты информации
	ГОСТ Р ИСО/МЭК 9594-8-98	Информационная технология. Взаимосвязь открытых систем. Справочник. Часть 8. Основы аутентификации
	ГОСТ Р ИСО/МЭК 9594-9-95	Информационная технология. Взаимосвязь открытых систем. Справочник. Часть 9. Дублирование
	-	Руководящий документ Гостехкоммиссии «РД. СВТ. Межсетевые экраны. Защита от НСД к информации. Показатели защищенности от НСД к информации» (Гостехкомиссия России, 1997)
	ГОСТ Р 50739-95	Средства вычислительной техники. Защита от несанкционированного доступа к информации. Общие технические требования
	ГОСТ 28147-89	Системы обработки информации. Защита криптографическая. Алгоритм криптографического преобразования
	ГОСТ Р 34.10-94	Информационная технология. Криптографическая защита информации. Процедуры выработки и проверки электронной подписи на базе асимметричного криптографического алгоритма
	ГОСТ Р 34.11-94	Информационная технология. Криптографическая защита информации. Функция хэширования

Безопасность программных продуктов начинается с качественно написанного и прошедшего всестороннее тестирование кода. Затем используются технологии поиска, исправления и ликвидации найденных уязвимых мест в системе защиты. На последнем этапе производится проверка на соответствие общепризнанным стандартам.

Пример. В октябре 2002 года корпорация Microsoft для платформы Microsoft Windows 2000 получила международный сертификат по «Общим критериям» для самого широкого среди сертифицированных операционных систем спектра реальных сценариев применения, определенных условиями стандарта Common Criteria . 12 февраля 2004 года представителями Государственной технической комиссии при Президенте Российской Федерации операционная система Microsoft Windows XP (Service Pack 1a) была сертифицирована на соответствие российским требованиям по безопасности информации.

Под нормами защищенности подразумеваются обязательная для исполнения документация, в которой определяются подходы к проведению оценки уровня существующей безопасности. Кроме того, в данных документах устанавливаются определенные правила, установленные для сохранности систем в целом.

Стандарты информационной безопасности направлены на осуществление определенных функций, в частности:

на выработку определенных терминологий и понятий, применяемых в области защищенности данных;
формирование шкалы, необходимой для измерения уровня защищенности;
проведение согласованной оценки продуктов;
значительное повышение совместимости продуктов, которые применяются для защищенности;
накопление сведений о лучших практиках установления устойчивого состояния;
предоставление сведений о лучших практиках заинтересованным группам лиц, к примеру, производителям защищенности, экспертам в данной сфере, директорам, администраторам и любым прочим пользователям информационных систем;
установление требований, направленных на обязательное исполнение отдельных стандартов, с приданием им юридической силы.

Международные стандарты безопасности

Международные стандарты устойчивости представляют собой совокупность практик и рекомендаций, направленных на внедрение систем, обеспечивающих защиту данных.

Один из международных образцов, BS 7799 направлен на формирование цели информационной защиты данных. Согласно данному сертификату, цель безопасности заключается в обеспечении бесперебойной работы компании, а также в способности предотвратить или свести к минимально возможному минимуму ущерб, полученный при нарушении установленных требований к устойчивости.

Еще один из основных международных образцов, ISO 27002, содержит в себе исчерпывающий перечень практических советов по информационной устойчивости. Данные советы подходят для тех сотрудников, которые в ходе осуществления своей трудовой деятельности отвечают за создание, реализацию и последующее обслуживание систем устойчивости таких технологий.

Международные стандарты информационной безопасности: ISO 27001

Под комплексом, представленным международными сертификатами, подразумевается совокупность определенных практик и рекомендаций, которые направлены на внедрение систем и оборудования средств технологической защиты.

Если принять во внимание определенные правила, установленные международным сертификатом ISO 27001 2013, защищенность рассматриваемых технологий должна быть представлена определенными признаками.

Данный ИСО позволяет провести разделение единой системы на четыре раздела. ИСО 27001 базирует на , который определяет основные требования, предъявляемые к менеджменту качества. Основываясь на нормах российской стандартизации, данные требования должны соблюдаться каждой организацией, которая желает продемонстрировать свою способность предоставлять продукцию, отвечающую запросам потребителей.

Наша компания поможет вам в . Стоимость такой услуги составляет 30000 рублей.

Международные стандарты безопасности: ИСО 17799

ISO 17799 был создан Международной организацией в 2000 году. В соответствии с его требованиями, при создании структуры устойчивости, которую принято считать эффективной, особое внимание необходимо уделять комплексному подходу, направленному на управление безопасности. Именно по этой причине в качестве элемента управления рассматриваются меры, направленные на обеспечение определенных требований, установленных для информации:

ее конфиденциальность;
достоверность информации;
доступность;
целостность предоставляемой информации.

Национальная система стандартов информационной безопасности

Национальная система стандартизации представлена совокупностью национальных сертификатов и общероссийских классификаторов. В данную структуру входят не только сами сертификаты, но и правила их разработки, последующего применения.

В Российской Федерации национальный сертификат может применяться на добровольной основе, вне зависимости от страны или места происхождения.

При этом существует правило, при котором подобная национальная система применяется только при наличии знака соответствия.

Российский ГОСТ Р ИСО 17799 определяет все образцы, направленные на обеспечение информационной защищенности, в качестве стандартов, направленных на сохранение конфиденциальности. Следовательно, к работе с такими технологиями могут допускаться только некоторые сотрудники, способными обеспечить целостность, доступность и защищенность информации.

ГОСТ Р ИСО 27001 - основной стандарт, содержащий в себе исчерпывающий перечень признаков, которыми должен обладать любой метод обеспечения защищенности каждой отдельно взятой информационной технологии.

Отечественные образцы ГОСТ ИСО МЭК 15408, составленные на основе международного ИСО в области соответствующих технологий, направлены на обеспечение сопоставимости результатов, полученных в результате проведения независимой оценки.

Удовлетворение представленных в этом ГОСТ ИСО РФ требований достигается путем установление единого перечня требований, которые могут быть предъявленные к определенным технологиям в данной сфере, а также к мерам доверия, используемым при оценке подобных технологий в ходе обеспечения их безопасности.

В Российской Федерации продукты в области технологий могут быть реализованы в нескольких видах:

аппаратного обеспечения;
программного обеспечения;
программно-аппаратного обеспечения.

Результаты, полученные в процессе проведения оценки обеспечения в данной области соответствию российскому ИСО РФ, позволяют установить, удовлетворяют ли осматриваемые технологии установленным для них государственным требованиям по защищенности.

Как правило, российские сертификаты ГОСТ ИСО РФ используется:

в качестве руководства по разработке продуктов технологий;
в качестве руководства по состоянию технологической сохранности продуктов;
в качестве оценки продуктов технологий при их приобретении.

Не так часто бывает, что я упускаю из ввиду какую-то российскую нормативку по информационной безопасности. Но тут это произошло;-(Оправдывает только то, что упущенное носит рекомендательный характер - речь идет о ГОСТах по защите информации. Среди новых ГОСТов, с которыми я раньше не сталкивался были обнаружены:

ГОСТ Р 53110-2008. Система обеспечения информационной безопасности сети связи общего пользования. Общие положения
ГОСТ Р 53111-2008. Устойчивость функционирования сети связи общего пользования. Требования и методы проверки
ГОСТ Р 53109-2008. Система обеспечения информационной безопасности сети связи общего пользования. Паспорт организации связи по информационной безопасности
ГОСТ Р 53114-2008. Защита информации. Обеспечение информационной безопасности в организации. Основные термины и определения
ГОСТ Р 53113.1-2008. Информационная технология. Защита информационных технологий и автоматизированных систем от угроз информационной безопасности, реализуемых с использованием скрытых каналов. Часть 1. Общие положения
ГОСТ Р 53112-2008. Защита информации. Комплексы для измерений параметров побочных электромагнитных излучений и наводок. Технические требования и методы испытаний
ГОСТ Р 53115-2008. Защита информации. Испытание технических средств обработки информации на соответствие требованиям защищенности от несанкционированного доступа. Методы и средства
ГОСТ Р 53113.2-2009. Информационная технология. Защита информационных технологий и автоматизированных систем от угроз информационной безопасности, реализуемых с использованием скрытых каналов. Часть 2. Рекомендации по организации защиты информации, информационных технологий и автоматизированных систем от атак с использованием скрытых каналов
ГОСТ Р ИСО/МЭК ТО 19791-2008. Информационная технология. Методы и средства обеспечения безопасности. Оценка безопасности автоматизированных систем
ГОСТ Р ИСО/МЭК 21827-2010. Информационная технология. Методы и средства обеспечения безопасности. Проектирование систем безопасности. Модель зрелости процесса
ГОСТ Р 53131-2008. Защита информации. Рекомендации по услугам восстановления после чрезвычайных ситуаций функций и механизмов безопасности информационных и телекоммуникационных технологий. Общие положения.
ГОСТ Р 54581-2011 Информационная технология. Методы и средства обеспечения безопасности. Основы доверия к безопасности ИТ. Часть 1. Обзор и основы
ГОСТ Р 54583-2011. Информационная технология. Методы и средства обеспечения безопасности. Основы доверия к безопасности информационных технологий. Часть 3. Анализ методов доверия
ГОСТ Р 54582-2011. Информационная технология. Методы и средства обеспечения безопасности. Основы доверия к безопасности информационных технологий. Часть 2. Методы доверия.

Почти все эти ГОСТы доступны на сайте Ростехрегулирования в открытом доступе.
Также были разработано и принято несколько стандартов по биометрии (часть еще в разработке), а также ранее упоминаемые ( и ) мной ГОСТы 18028 по менеджменту сетевой безопасности, 27006 по требованиям к аудиторам СМИБ, 27004 по измерениям СМИБ, 27005 по оценке рисков ИБ и 27033-1 по сетевой безопасности.

Из планов на 2013-й год можно назвать разработку очень интересных и достойных ГОСТов (часть работ уже начата):

"Уязвимости информационных систем. Классификация уязвимостей информационных систем",
"Уязвимости информационных систем. Правила описания уязвимостей",
"Уязвимости информационных систем. Содержание и порядок выполнения работ по выявлению и оценке уязвимостей информационных систем",
"Порядок создания автоматизированных систем в защищенном исполнении. Общие положения" (взамен текущей версии ГОСТ 51583-2000),
"Документация по технической защите информации на объекте информатизации. Общие положения",
"Информационные системы и объекты информатизации. Угрозы безопасности информации. Общие положения",
"Техника защиты информации. Номенклатура показателей качества" (взамен текущего ГОСТ Р 52447-2005)",
"Основные термины и определения" (взамен текущей версии ГОСТ Р 50922-2006),
"Требования по защите информации в информационных системах, построенных с использованием технологии виртуализации. Общие положения",
"Требования по защите информации, обрабатываемой с использованием технологий "облачных вычислений". Общие положения",
"Требования по защите информации в информационных системах, построенных с использованием суперкомпьютерных и грид - технологий"
ну и ряд стандартов по информационным войнам.

Также планируется разработка/адаптация/гармонизация ГОСТ Р ИСО/МЭК 27007 "Информационная технология. Методы и средства обеспечения безопасности. Руководство по аудиту системы менеджмента информационной безопасности".

Планы очень амбициозные и достойные. ФСТЭК немного переориентируется - от разработки сугубо внутренних нормативных документов в сторону общегосударственной методической базы. Можно только приветствовать такой подход.

Международные стандарты

BS 7799-1:2005 - Британский стандарт BS 7799 первая часть. BS 7799 Part 1 - Code of Practice for Information Security Management (Практические правила управления информационной безопасностью) описывает 127 механизмов контроля, необходимых для построения системы управления информационной безопасностью (СУИБ) организации, определённых на основе лучших примеров мирового опыта (best practices) в данной области. Этот документ служит практическим руководством по созданию СУИБ
BS 7799-2:2005 - Британский стандарт BS 7799 вторая часть стандарта. BS 7799 Part 2 - Information Security management - specification for information security management systems (Спецификация системы управления информационной безопасностью) определяет спецификацию СУИБ. Вторая часть стандарта используется в качестве критериев при проведении официальной процедуры сертификации СУИБ организации.
BS 7799-3:2006 - Британский стандарт BS 7799 третья часть стандарта. Новый стандарт в области управления рисками информационной безопасности
ISO/IEC 17799:2005 - «Информационные технологии - Технологии безопасности - Практические правила менеджмента информационной безопасности». Международный стандарт, базирующийся на BS 7799-1:2005.
ISO/IEC 27000 - Словарь и определения.
ISO/IEC 27001:2005 - «Информационные технологии - Методы обеспечения безопасности - Системы управления информационной безопасностью - Требования». Международный стандарт, базирующийся на BS 7799-2:2005.
ISO/IEC 27002 - Сейчас: ISO/IEC 17799:2005. «Информационные технологии - Технологии безопасности - Практические правила менеджмента информационной безопасности». Дата выхода - 2007 год.
ISO/IEC 27005 - Сейчас: BS 7799-3:2006 - Руководство по менеджменту рисков ИБ.
German Information Security Agency. IT Baseline Protection Manual - Standard security safeguards (Руководство по базовому уровню защиты информационных технологий).

Государственные (национальные) стандарты РФ

ГОСТ Р 50922-2006 - Защита информации. Основные термины и определения.
Р 50.1.053-2005 - Информационные технологии. Основные термины и определения в области технической защиты информации.
ГОСТ Р 51188-98 - Защита информации. Испытание программных средств на наличие компьютерных вирусов. Типовое руководство.
ГОСТ Р 51275-2006 - Защита информации. Объект информатизации. Факторы, воздействующие на информацию. Общие положения.
ГОСТ Р ИСО/МЭК 15408-1-2008 - Информационная технология. Методы и средства обеспечения безопасности. Критерии оценки безопасности информационных технологий. Часть 1. Введение и общая модель.
ГОСТ Р ИСО/МЭК 15408-2-2008 - Информационная технология. Методы и средства обеспечения безопасности. Критерии оценки безопасности информационных технологий. Часть 2. Функциональные требования безопасности.
ГОСТ Р ИСО/МЭК 15408-3-2008 - Информационная технология. Методы и средства обеспечения безопасности. Критерии оценки безопасности информационных технологий. Часть 3. Требования доверия к безопасности.
ГОСТ Р ИСО/МЭК 15408 - «Общие критерии оценки безопасности информационных технологий» - стандарт, определяющий инструменты и методику оценки безопасности информационных продуктов и систем; он содержит перечень требований, по которым можно сравнивать результаты независимых оценок безопасности - благодаря чему потребитель принимает решение о безопасности продуктов. Сфера приложения «Общих критериев» - защита информации от несанкционированного доступа, модификации или утечки, и другие способы защиты, реализуемые аппаратными и программными средствами.
ГОСТ Р ИСО/МЭК 17799 - «Информационные технологии. Практические правила управления информационной безопасностью». Прямое применение международного стандарта с дополнением - ISO/IEC 17799:2005.
ГОСТ Р ИСО/МЭК 27001 - «Информационные технологии. Методы безопасности. Система управления безопасностью информации. Требования». Прямое применение международного стандарта - ISO/IEC 27001:2005.
ГОСТ Р 51898-2002 - Аспекты безопасности. Правила включения в стандарты.

Руководящие документы

РД СВТ. Защита от НСД. Показатели защищенности от НСД к информации - содержит описание показателей защищенности информационных систем и требования к классам защищенности.

См. также

Недекларированные возможности

Внешние ссылки

Международные стандарты управления информационной безопасностью

Wikimedia Foundation . 2010 .

Международные стандарты

BS 7799-1:2005 - Британский стандарт BS 7799 первая часть. BS 7799 Part 1 - Code of Practice for Information Security Management (Практические правила управления информационной безопасностью) описывает 127 механизмов контроля, необходимых для построения системы управления информационной безопасностью (СУИБ) организации, определённых на основе лучших примеров мирового опыта (best practices) в данной области. Этот документ служит практическим руководством по созданию СУИБ
BS 7799-2:2005 - Британский стандарт BS 7799 вторая часть стандарта. BS 7799 Part 2 - Information Security management - specification for information security management systems (Спецификация системы управления информационной безопасностью) определяет спецификацию СУИБ. Вторая часть стандарта используется в качестве критериев при проведении официальной процедуры сертификации СУИБ организации.
BS 7799-3:2006 - Британский стандарт BS 7799 третья часть стандарта. Новый стандарт в области управления рисками информационной безопасности
ISO/IEC 17799:2005 - «Информационные технологии - Технологии безопасности - Практические правила менеджмента информационной безопасности». Международный стандарт, базирующийся на BS 7799-1:2005.
ISO/IEC 27000 - Словарь и определения.
ISO/IEC 27001 - «Информационные технологии - Методы обеспечения безопасности - Системы управления информационной безопасностью - Требования». Международный стандарт, базирующийся на BS 7799-2:2005.
ISO/IEC 27002 - Сейчас: ISO/IEC 17799:2005. «Информационные технологии - Технологии безопасности - Практические правила менеджмента информационной безопасности». Дата выхода - 2007 год.
ISO/IEC 27005 - Сейчас: BS 7799-3:2006 - Руководство по менеджменту рисков ИБ.
German Information Security Agency. IT Baseline Protection Manual - Standard security safeguards (Руководство по базовому уровню защиты информационных технологий).

Государственные (национальные) стандарты РФ

ГОСТ Р 50922-2006 - Защита информации. Основные термины и определения.
Р 50.1.053-2005 - Информационные технологии. Основные термины и определения в области технической защиты информации.
ГОСТ Р 51188-98 - Защита информации. Испытание программных средств на наличие компьютерных вирусов. Типовое руководство.
ГОСТ Р 51275-2006 - Защита информации. Объект информатизации. Факторы, воздействующие на информацию. Общие положения.
ГОСТ Р ИСО/МЭК 15408-1-2012 - Информационная технология. Методы и средства обеспечения безопасности. Критерии оценки безопасности информационных технологий. Часть 1. Введение и общая модель.
ГОСТ Р ИСО/МЭК 15408-2-2013 - Информационная технология. Методы и средства обеспечения безопасности. Критерии оценки безопасности информационных технологий. Часть 2. Функциональные требования безопасности.
ГОСТ Р ИСО/МЭК 15408-3-2013 - Информационная технология. Методы и средства обеспечения безопасности. Критерии оценки безопасности информационных технологий. Часть 3. Требования доверия к безопасности.
ГОСТ Р ИСО/МЭК 15408 - «Общие критерии оценки безопасности информационных технологий» - стандарт, определяющий инструменты и методику оценки безопасности информационных продуктов и систем; он содержит перечень требований, по которым можно сравнивать результаты независимых оценок безопасности - благодаря чему потребитель принимает решение о безопасности продуктов. Сфера приложения «Общих критериев» - защита информации от несанкционированного доступа, модификации или утечки, и другие способы защиты, реализуемые аппаратными и программными средствами.
ГОСТ Р ИСО/МЭК 17799 - «Информационные технологии. Практические правила управления информационной безопасностью». Прямое применение международного стандарта с дополнением - ISO/IEC 17799:2005.
ГОСТ Р ИСО/МЭК 27001 - «Информационные технологии. Методы безопасности. Система управления безопасностью информации. Требования». Прямое применение международного стандарта - ISO/IEC 27001:2005.
ГОСТ Р 51898-2002 - Аспекты безопасности. Правила включения в стандарты.

Возможно, будет полезно почитать: