Bilgi Teknolojileri Ürün Güvenliği İçin Ortak Kriterler Sertifikasyonu ve Türkiye

Transkript

1 Bilgi Teknolojileri Ürün Güvenliği İçin Ortak Kriterler Sertifikasyonu ve Türkiye Mariye Umay AKKAYA-TSE ORTAK KRİTERLER nedir? ORTAK KRİTERLER; BİLİŞİM TEKNOLOJİSİ ÜRÜNLERİ İÇİN GELİŞTİRİLMİŞ GÜVENLİK DEĞERLENDİRME STANDARDIDIR. TS ISO/IEC ve TS ISO/IEC STANDARTLARIDIR. Ortak Kriterler; bilgi teknolojileri ürünlerinin güvenlik seviyelerinin tespit edilmesi ve bağımsız laboratuarlarda test edilebilmesi için geliştirilmiş olan, temelini Amerika daki TCSEC (Telecommunication Security) ve Avrupadaki ITSEC (IT Security) standartlarından alan ve Uluslararası Standartlar Organizasyonu'nun (ISO) 1999 yılında Uluslararası Bilgi Teknolojileri Güvenlik Değerlendirme Standardı olarak kabul ettiği (ISO 15408) BT ürün güvenliği standardıdır. -Ortak Kriterler Standardı Bilgi Teknolojisi Ürünleri İçin ne Sağlar? Bilgi Güvenliğinin 3 temel taşının kontrollerini gerçekleştirir. GİZLİLİK: Bilgiye sadece yetkilendirilmiş kişilerce ulaşılabilmesidir. BÜTÜNLÜK: Verinin yahut bilginin yetkisiz kişilerce değiştirilmesine veya yok edilmesine karşı korunmasıdır. KULLANILABİLİRLİK: Doğru yetkilendirilmiş bir kişinin ihtiyacı olduğu anda ihtiyacı olan hizmetin orada olma oranına erişilebilirliğidir. -Ortak Kriterler Standardı Bilgi Teknolojisi Ürünlerinde neleri Inceler? TASARIM SÜRECİNİ SORGULAR. TESLİM & KURULUM SÜRECİNİ SORGULAR. TASARIM DOKÜMANLARININ İÇERİK YETERLİLİĞİNİ SORGULAR. KAYNAK KODU SORGULAR. KILAVUZ DOKÜMANLARI SORGULAR. YAŞAM DÖNGÜSÜ MODELİNİ SORGULAR. GELİŞTİRME ARAÇLARINI SORGULAR. GELİŞTİRME ORTAMININ GÜVENLİĞİNİ SORGULAR. TEST DOKÜMANLARINI SORGULAR(Fonksiyonel, Bağımsız ve Sızma Testleri). Özetle; o Ürün Gelişticisini, Üründeki ve Sistemdeki olası GÜVENLİK ZAYIFLIKLARINI minimuma düşürecek bir METODOLOJİYE uymaya ZORLAR.

2 o Laboratuar Değerlendiricisinin ÜRÜN VE İŞLETİM ORTAMI hakkında ayrıntılı olarak bilgi sahibi olmasını sağlar. o BT(Bilişim Teknolojisi) ürününün yeterli bir geliştirme ortamında gerçeklenip gerçeklenmediğini kontrol eder, var olan tehditleri analiz eder, Fonksiyonel, Bağımsız ve Sızma testleri (Açıklık Analizi çalışması) yapar ve ürüne uygun garanti seviyesini verir. Ortak Kriterler Kapsamına Giren BT Ürün Grupları: o Erişim Kontrol Cihazları ve Sistemleri (Access Control Devices and Systems) o Biometrik Sistemler ve Cihazlar (Biometric Systems and Devices ) o Sınır Koruma Cihazları ve Sistemleri (Boundary Protection Devices and Systems ) o Veri Koruma (Data Protection) o Veritabanları (Databases) o Tespit Cihazları ve Sistemleri (Detection Devices and Systems) o Akıllı Kartlar-Entegre Devre (Smart Card -Integrated Circuits) o Akıllı Kart İşletim Sistemleri (Smart Card Operating Systems) o Akıllı Kart Okuyucuları (Smart Card Reader) o Anahtar Yönetim Sistemleri (Key Management Systems) o Ağ ve Ağla ilgili Cihazlar ve Sistemler (Network and Network Related Devices and Systems) o İşletim Sistemleri (Operating Systems) o Sayısal İmzalı Ürünler (Products for Digital Signatures) o Güvenilir Hesaplama (Trusted Computing) Değerlendirme Garanti Seviyeleri (Güvenlik Seviyeleri): Ortak Kriterler tanımlanmış, garanti seviyesi gittikçe artan ve Değerlendirme Garanti Seviyesi (EAL) olarak bilinen 7 adet garanti paketi (seviyesi) sağlamaktadır, Seviyeler Atak Potansiyeli, Beyaz veya Kara Kutu Testleri ve Kalite değerlerine göre aşağıda ölçeklenmiştir:

3 CCRA`ya Üye Ülkeler: CCRA (Common Criteria Recognition Arrangement)`a üye Sertifika Üreticisi, Sertifika Müşterisi ülkeler ve sahip oldukları lisanslı laboratuar sayıları aşağıdadır; SERTİFİKA ÜRETİCİLERİ SERTİFİKA MÜŞTERİLERİ 1. Almanya Avusturya 2. Amerika 9 2. Çek Cumhuriyeti 3. İtalya 6 3. Danimarka 4. Fransa 5 4. Finlandiya 5. Güney Kore 5 5. Yunanistan 6. Japonya 4 6. Macaristan 7. Norveç Hindistan 8. İngiltere 3 8. İsrail 9. Kanada 3 9. Singapur 10. Avustralya ve Yeni Zelanda Malezya 11. İspanya Pakistan 12. İsveç Türkiye Hollanda 1 EAL Seviyelerine göre BT Ürünleri ( ) Dünya İstatistikleri:

4 Ülkelere Göre BT Ürünleri ( ) BT Ürün Kategorilerine Göre ( ) Toplam Ürün Çeşidi = 1672

5 TSE-OKBS Ortak Kriterler Değerlendirme ve Belgelendirme prosesleri: 3 taraf vardır; Ortak Kriterler Belgelendirme Sistemi (OKBS) Ortak Kriterler Değerlendirme Laboratuarı(OKDL) Üretici ve/veya Sponsor aralarındaki hiyerarşi şekil-1`de görüldüğü gibidir;

6 Ortak Kriterler Belgelendirme Sistemi, üretici ve/veya sponsor ile Ortak Kriterler Test Laboratuarları arasındaki koordinasyonu sağlar. Ortak Kriterler değerlendirmeleri, TSE OKBS (Ortak Kriterler Belgelendirme Sistemi)`nden lisanslı ISO/IEC standardından Ortak Kriterler kapsamında akredite olmuş bağımsız Ortak Kriterler Test Laboratuarlarında(OKDL) gerçekleştirilmektedir. Bu bağımsız test laboratuarları sonuçları temel alınarak verilen sertifikalara sahip BT ürünleri; belirlenen tehditler için güvenlik ölçütlerinin yeterli olduğu ve bu ölçütlerin doğru olarak üründe uygulandığı konusunda temel bir garanti sağlamaktadır. Bu sistem içerisinde OKBS, OKDL lerin teknik yeterliliğini ve birbirleri ile tutarlılığını sağlamakla yükümlüdür. OKBS bunu belirli aralıklarla yaptığı laboratuar tetkikleri ve toplantılar aracılığı ile sağlar. TSE Ortak Kriterler Belgelende Sistemi (OKBS) TARİHÇESİ`ne özetle bakacak olursak; - Türkiye`de Ortak Kriterler programı ilk defa 2001 yılında Genel Kurmay Başkanlığı(TGS) tarafından Türk Silahlı Kuvvetleri(TAF) için başlatılmıştır. - Türkiye nin belgelendirme kuruluşu olan TSE, 2003 yılında Ortak Kriterler Tanıma Anlaşması(CCRA)`nı imzalayarak Sertifika Müşterisi üyesi olmuştur. - Ortak Kriterler Değerlendirme Laboratuarı (OKDL-CCTL) 2003 te TUBITAK UEKAE (Ulusal Elektronik Kriptoloji Araştırma Enstitüsü) bünyesinde Ortak Kriterler Test Merkezi(OKTEM) adı altında bağımsız olarak kurulmuştur. - Ortak Kriterler Belgelendirme Sistemi(OKBS-CCCS) ise 2005 yılında TSE Ürün Belgelendirme Merkezi altında çalışmalarına başlamıştır.

7 - TSE, 2008 yılında Ortak Kriterler Tanıma Anlaşması(CCRA) da yapılan düzenleme gereğince Sertifika Üreten Ülke Authorizing Country olmak için başvuruda bulunmuştur Nisan 2010 tarihleri arasında yürütülen değerlendirme çalışmaları sonucunda denetleme ekibi, TSE`nin Ortak Kriterler Tanıma Anlaşması(CCRA) nda yer alan şartları taşıdığına karar vermiştir Kasım 2010 tarihi itibari ile Sertifika Üreten Ülke Authorizing Country ünvanını resmen almıştır. Böylece dünyada CCRA anlaşmasına taraf 26 ülke içinde, Sertifika Üreten 15 ülkeden biri olmuş oldu. Güvenlik Garanti Seviyeleri (EAL) 1-5+ a kadar değerlendirme yapılmakta olup, Türkiye gibi Sertifika üreten ülkelerin değerlendirip, sertifikalandırdığı ürünler Uluslar arası geçerli Güvenli BT Ürünü olmakta ve adresinde yayınlanmaktadırlar. Halihazırda 1 adet Kamusal ve 1 adet de ticari CC laboratuarı olan ve TS EN ISO/IEC 17025`de akredite ve Ortak Kriterler kapsamında TSE`den lisanslı TUBİTAK BİLGEM SGE OKTEM ve EPOCHE & ESPRI değerlendirme laboratuarları mevcut olup, OKBS Onaylı Laboratuar Listesi; adreslerinde yayınlanmaktadır. Türkiye`nin 2010 yılında dünyadaki 14 adet Sertifika Üreten Ülke ler arasına girmesi ile, TSE OKBS`nin belgelendireceği ürünler CCRA`ya üye 26 ülke arasında EAL 1`den 4`e kadar uluslararası geçerli güvenli Bilgi Teknolojisi ürünü olması Bilgi Güvenliği açısından ülkemiz adına son derece önemli bir gelişmedir. Güvenliğin, sistemde ve üründe birlikte uygulandığı takdirde bir olgunluğa ulaştığı da, hızla ilerleyen teknoloji ve saldırgan potansiyeli karşısında unutulmamalı, ülkemizde Bilgi güvenliğinin önemi konferanslar, paneller vs. düzenleyerek anlatılmalı, özellikle de TS ISO/IEC Bilgi Teknolojisi Ürün Güvenliği-Ortak Kriter leri yaygınlaştırma çalışmaları hızlandırılmalıdır.