اخذ استاندارد ایزو 15408 | امنیت فناوری اطلاعات

استاندارد ISO 15408 چیست؟ (امنیت فناوری اطلاعات)

استاندارد ایزو 15408 که به نام استاندارد امنیت فناوری اطلاعات یا “Common Criteria” نیز شناخته می‌شود، یک استاندارد بین‌المللی در زمینه ارزیابی و تأیید امنیت محصولات و سامانه‌های فناوری اطلاعات است. این استاندارد توسط سازمان بین‌المللی استانداردسازی (ISO) توسعه داده شده است و دارای روش‌های مشخص و قابل قبولی برای ارزیابی امنیت محصولات و سامانه‌های فناوری اطلاعات است.

هدف اصلی استاندارد ISO 15408، ارائه یک رویکرد مشترک و قابل قبول برای ارزیابی امنیت محصولات و سامانه‌های فناوری اطلاعات است. این استاندارد با تعریف استانداردهای مورد نیاز برای ارزیابی امنیت، معیارهایی را برای سازمان‌ها و تأمین‌کنندگان فناوری فراهم می‌کند تا بتوانند امنیت محصولات خود را مورد ارزیابی قرار دهند.

کاربرد ISO 15408

استاندارد ISO 15408 در زمینه امنیت فناوری اطلاعات کاربردهای متنوعی دارد. برخی از کاربردهای این استاندارد عبارتند از:

ارزیابی امنیت محصولات

استفاده از استاندارد ایزو 15408 به سازمان‌ها و تأمین‌کنندگان فناوری اطلاعات کمک می‌کند تا امنیت محصولات خود را ارزیابی کنند. با ارزیابی محصولات بر اساس معیارهای این استاندارد، میزان امنیت محصول و مطابقت آن با استانداردهای امنیتی مشخص می‌شود.

تأیید امنیت سامانه‌ها

با استفاده از استاندارد ISO 15408، سازمان‌ها می‌توانند امنیت سامانه‌های خود را تأیید کنند. با ارزیابی و تحلیل مطابقت سامانه‌ها با معیارهای امنیتی این استاندارد، میزان امنیت سامانه و آمادگی آن برای مقابله با تهدیدها و تهاجم‌ها سنجیده می‌شود.

انتخاب تأمین‌کننده فناوری

استاندارد ایزو 15408 به سازمان‌ها در انتخاب تأمین‌کنندگان فناوری اطلاعات مناسب کمک می‌کند. با بررسی ارزیابی امنیت محصولات و سامانه‌های تأمین‌کنندگان، سازمان‌ها می‌توانند تأمین‌کنندگانی را که با استانداردهای امنیتی مطابقت دارند و امنیت بالایی را ارائه می‌دهند، انتخاب کنند.

ارزیابی ریسک امنیتی

استفاده از استاندارد ISO 15408 در ارزیابی ریسک امنیتی سامانه‌ها و محصولات فناوری اطلاعات، به سازمان‌ها کمک می‌کند تا ضعف‌های امنیتی و ریسک‌های مربوط به آنها را شناسایی کرده و تدابیر لازم را برای کاهش و مدیریت این ریسک‌ها اتخاذ کنند.

به طور خلاصه، استاندارد ISO 15408 در زمینه امنیت فناوری اطلاعات برای ارزیابی امنیت محصولات و سامانه‌ها، تأیید امنیت سامانه‌ها، انتخاب تأمین‌کننده فناوری و ارزیابی ریسک امنیتی بکار می‌رود. همچنین گواهینامه ایزو 15408 یک سری مدل‌ها و فریم‌وِرک‌ها را برای ارزیابی امنیت ارائه می‌دهد که شامل موارد زیر است:

• مدل اهداف امنیتی: برای تعریف و بررسی اهداف امنیتی محصولات و سامانه‌ها
• مدل تهاجم: برای تحلیل و ارزیابی تهدیدها و تهاجم‌ها در برابر سامانه‌ها و محصولات
• مدل امنیت عملیاتی: برای ارزیابی امنیت عملیاتی سامانه‌ها
• مدل تطبیقی: برای ارزیابی مطابقت محصولات و سامانه‌ها با استانداردهای امنیتی

اصول و قوانین استاندارد ایزو 15408

این استاندارد را می توان در هر بخشی که با نیاز به آزمایش امنیت محصولات و سیستم های فناوری اطلاعات مواجه است پیاده سازی کرد. بخش اول این گواهینامه مقدمه و مدل کلی بر ISO/IEC 15408 است. این استاندارد مفاهیم و اصول کلی ارزیابی امنیت فناوری اطلاعات را تعریف می کند و یک مدل کلی از ارزیابی را ارائه می دهد.

همچنین بخش اول ساختارهایی را برای بیان اهداف امنیت فناوری اطلاعات، برای انتخاب و تعریف الزامات امنیت فناوری اطلاعات، و برای نوشتن مشخصات سطح بالا برای محصولات و سیستم ها ارائه می کند. علاوه بر این، سودمندی هر بخش از ISO/IEC 15408 بر حسب هر یک از مخاطبان هدف توضیح داده شده است.

قسمت دوم این استاندارد الزامات عملکردی امنیتی، مجموعه ای از اجزای عملکردی را به عنوان روشی استاندارد برای بیان الزامات عملکردی برای TOE ها (هدف های ارزیابی) ایجاد می کند. بخش 2 مجموعه ای از اجزای کاربردی، خانواده ها و کلاس ها را فهرست می کند.

قسمت سوم این گواهینامه، الزامات تضمین امنیت، مجموعه ای از اجزای تضمینی را به عنوان روشی استاندارد برای بیان الزامات اطمینان برای TOE ها ایجاد می کند. بخش 3 مجموعه ای از اجزای تضمین، خانواده ها و کلاس ها را فهرست می کند.

این سند مفاهیم و اصول کلی ارزیابی امنیت فناوری اطلاعات را تعیین می کند و مدل کلی ارزیابی ارائه شده توسط بخش های مختلف استاندارد را مشخص می کند. در کل استاندارد ایزو 15408 به عنوان مبنایی برای ارزیابی ویژگی های امنیتی محصولات فناوری اطلاعات مورد استفاده قرار می گیرد.

مزایای استاندارد ISO 15408

استاندارد ایزو ISO 15408 در زمینه امنیت فناوری اطلاعات مزایای بسیاری دارد. برخی از مزایای این استاندارد عبارتند از:

تأیید امنیت محصولات

استفاده از گواهینامه ISO 15408 به سازمان‌ها و تأمین‌کنندگان فناوری اطلاعات کمک می‌کند تا امنیت محصولات خود را تأیید کنند. با ارزیابی محصولات بر اساس معیارهای این استاندارد، میزان امنیت محصول و مطابقت آن با استانداردهای امنیتی بررسی می‌شود.

ارتقای اعتماد مشتریان

تأیید امنیت محصولات با استفاده از استاندارد ایزو 15408، موجب افزایش اعتماد مشتریان به محصولات و سامانه‌های فناوری اطلاعات می‌شود. این اعتماد به بازاریابی و فروش محصولات کمک کرده و رقابت‌پذیری سازمان‌ها را افزایش می‌دهد.

مقابله با تهدیدها و تهاجم‌ها

با استفاده از استاندارد ISO 15408، سازمان‌ها می‌توانند تهدیدها و تهاجم‌های امنیتی را شناسایی کرده و بهبودیافته‌های امنیتی مورد نیاز را پیاده‌سازی کنند. این کار باعث افزایش سطح امنیت سامانه‌ها و محصولات شده و از نقاط ضعف امنیتی جلوگیری می‌کند.

اطمینان از مطابقت با استانداردهای امنیتی

استفاده از استاندارد ایزو 15408، سازمان‌ها را قادر می‌سازد تا مطابقت محصولات و سامانه‌های خود با استانداردهای امنیتی را تأیید کنند. این امر باعث اعتماد سازمان‌ها به امنیت سامانه‌ها و تأمین‌کنندگان فناوری می‌شود.

هزینه اخذ ایزو 15408

هزینه دریافت گواهی ISO 15408 برای امنیت فناوری اطلاعات ممکن است متغیر باشد و به عوامل مختلفی بستگی داشته دارد. برای مثال برای ارزیابی امنیت محصولات و سامانه‌ها بر اساس استاندارد ISO 15408، ممکن است نیاز به همکاری با سازمان‌های مستقل و متخصص در زمینه ارزیابی امنیت باشد. این شامل هزینه‌های مربوط به فرآیند ارزیابی، مستندسازی و ارائه گزارش امنیتی است.

همچنین استفاده از استاندارد ایزو 15408 برای ارتقای امنیت محصولات و سامانه‌ها نیازمند اعمال تغییرات و بهبودهای امنیتی است. این شامل هزینه‌های مربوط به تحقیق و توسعه، انجام آزمایش‌ها و تست‌های امنیتی، انجام اقدامات پیشگیرانه و پاسخ به ریسک‌های امنیتی است.

علاوه بر این برای رسیدن به استانداردهای امنیتی مطابق با ISO 15408، ممکن است نیاز به انجام تدابیر حفاظتی و اعمال محدودیت‌ها در دسترسی و استفاده از اطلاعات باشد. این شامل هزینه‌های مربوط به سیستم‌ها و فناوری‌های حفاظت اطلاعاتی می‌شود.

مهم است بدانید که هزینه دریافت استاندارد ایزو 15408 و اجرای آن بستگی به ویژگی‌ها و نیازهای خاص سازمان شما نیز دارد. بنابراین بهتر است با مشاوران متخصص در این زمینه تماس بگیرید تا در مورد هزینه‌های مرتبط با پیاده‌سازی استاندارد و نیازهای خاص سازمانتان مشاوره بگیرید. برای این منظور می توانید از متخصصان و مشاوران ما در سایت ایزو کمک بگیرید.

سایت ایزو بهترین انتخاب برای اخد انواع استانداردهای بین‌المللی

در این مطلب استاندارد ایزو 15408 را معرفی کردیم. این استاندارد معمولاً به عنوان منبعی برای ارزیابی امنیت محصولات و سیستم های فناوری اطلاعات استفاده می شود. بنابراین این استاندارد می تواند به عنوان یک ابزار برای تعیین امنیت سیستم فناوری اطلاعات استفاده شود.

در نتیجه، استاندارد ISO 15408 یا Common Criteria یک استاندارد بین‌المللی در زمینه امنیت فناوری اطلاعات است که به سازمان‌ها و تأمین‌کنندگان فناوری اطلاعات کمک می‌کند تا امنیت محصولات و سامانه‌های خود را ارزیابی کرده و مطابقت با استانداردهای امنیتی را تضمین کنند. این استاندارد با تعیین معیارهای امنیتی و فرآیندهای ارزیابی، موجب افزایش اعتماد سازمان‌ها به امنیت فناوری اطلاعات می‌شود.

همچنین، استفاده از این استاندارد به سازمان‌ها در انتخاب تأمین‌کنندگان فناوری اطلاعات مناسب، بهبود امنیت سامانه‌ها و کاهش ریسک‌های امنیتی کمک می‌کند. از طرفی، پیاده‌سازی استاندارد ایزو 15408 ممکن است هزینه‌بر باشد، اما با در نظر گرفتن مزایای طولانی مدت آن، سرمایه‌گذاری در امنیت فناوری اطلاعات برای سازمان‌ها بسیار ارزشمند است.

لازم به ذکر است که برای کسب اطلاعات بیشتر در این زمینه و دریافت هر نوع گواهینامه بین‌المللی دیگری می توانید از مشاوران و متخصصان ما کمک بگیرید.

سوالات متداول

استاندارد ISO 15408 چیست و چه منظوری دارد؟

استاندارد ISO 15408 یا Common Criteria یک استاندارد بین‌المللی است که به منظور ارزیابی امنیت سامانه‌های فناوری اطلاعات استفاده می‌شود. هدف اصلی این استاندارد، ایجاد یک فرایند ارزیابی مستقل و بی‌طرف برای تأیید کیفیت و امنیت سامانه‌ها است.

معیار رایج 15408 چیست؟

معیارهای مشترک (ISO 15408) تنها استاندارد جهانی امنیت است که متقابلاً به رسمیت شناخته شده است. هدف معیارهای مشترک ایجاد اطمینان و اعتماد به ویژگی های امنیتی یک سیستم و در فرآیندهای مورد استفاده برای توسعه و پشتیبانی آن است.

چرا استاندارد ISO 15408 برای سازمان‌ها مهم است؟

استاندارد ایزو 15408 به سازمان‌ها کمک می‌کند تا امنیت محصولات و سامانه‌های خود را بهبود دهند و اعتماد سازمان‌ها و مشتریان را درباره امنیت فناوری اطلاعات افزایش دهند. همچنین، با استفاده از این استاندارد، سازمان‌ها می‌توانند تأمین‌کنندگان فناوری اطلاعات مناسب را انتخاب کنند و ریسک‌های امنیتی را کاهش دهند.

چگونه می‌توان استاندارد ISO 15408 را پیاده‌سازی کرد؟

برای پیاده‌سازی گواهینامه ایزو 15408، نیازمند انجام مراحل مشخصی است. این شامل تعیین نیازمندی‌های امنیتی، تهیه مستندات و اطلاعات مرتبط با سامانه، ارزیابی ریسک امنیتی، تعیین معیارها و راهکارهای امنیتی، انجام آزمایش‌ها و تست‌های امنیتی، و ارائه گزارش امنیتی است.

استاندارد ISO 15408 چگونه به ارزیابی امنیت محصولات و سامانه‌ها کمک می‌کند؟

استاندارد ایزو 15408 با تعیین معیارهای امنیتی و فرآیندهای ارزیابی، به سازمان‌ها کمک می‌کند تا امنیت سامانه‌ها را ارزیابی کرده و از مطابقت آنها با استانداردهای امنیتی اطمینان حاصل کنند. این ارزیابی شامل ارزیابی مستندات، بررسی تست‌ها و آزمایش‌های امنیتی و ارائه گزارش امنیتی است.

آیا استاندارد ISO 15408 به همه نوع محصولات و سامانه‌ها قابل اعمال است؟

بله، استاندارد ISO 15408 به تمامی نوع محصولات و سامانه‌های فناوری اطلاعات قابل اعمال است، از جمله سخت‌افزار، نرم‌افزار و سامانه‌های مجازی. این استاندارد قابل اعمال بر روی محصولات و سامانه‌هایی است که به امنیت فناوری اطلاعات اهمیت می‌دهند.